POUVOIR JUDICIAIRE
C/20656/2015 ACJC/1388/2017
ARRÊT
DE LA COUR DE JUSTICE
Chambre civile
du MERCREDI 25 OCTOBRE 2017
Entre
A______, sise ______, appelante d'un jugement rendu par la 8ème Chambre du Tribunal de première instance de ce canton le 27 mars 2017, comparant par Me Fabio Spirgi, avocat, 15, rue Ferdinand-Hodler, case postale 6090, 1211 Genève 6, en l'étude duquel elle fait élection de domicile,
et
Madame B______, domiciliée ______, intimée, comparant par Me Simon Ntah, avocat, 1, place de Longemalle, 1204 Genève, en l'étude duquel elle fait élection de domicile.
EN FAIT
A. Par jugement JTPI/4283/2017 du 27 mars 2017, notifié aux parties le 29 mars 2017, le Tribunal de première instance a déclaré recevable la demande en interdiction de transfert de données déposée par B______ (chiffre 1 du dispositif) et fait interdiction à A______ de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, dans le cadre du programme US des données, informations ou des documents comportant le nom et/ou des données ou informations relatives à B______ ou qui permettraient de l'identifier (ch. 2), sous la menace de la peine prévue par l'art. 292 CP (ch. 3).
Pour le surplus, le Tribunal a arrêté les frais judiciaires à 2'200 fr., les a compensés avec l'avance fournie par B______ et les a mis à la charge de A______, la condamnant à verser à B______ le montant de 2'200 fr. à titre de remboursement des frais judiciaires ainsi que le montant de 5'000 fr. à titre de dépens (ch. 4 et 5) et a débouté les parties de toutes autres conclusions (ch. 6).
B. a. Par acte déposé au greffe de la Cour de justice le 9 mai 2017, A______ forme appel contre ce jugement, dont elle sollicite l'annulation, avec suite de frais et dépens.
Elle conclut à ce que B______ soit déboutée de toutes ses conclusions prises en prévention d'une atteinte à la personnalité et en interdiction de transfert de données la concernant. Subsidiairement, elle sollicite le renvoi de la cause au Tribunal pour nouvelle décision.
A l'appui de son appel, A______ produit un communiqué du Préposé fédéral à la protection des données du 11 janvier 2017 et une liste de pays établie par ledit Préposé, état au 12 janvier 2017.
b. B______ conclut au rejet de l'appel et à la confirmation du jugement entrepris, avec suite de frais et dépens.
Elle produit un document intitulé "Swiss-U.S. Privacy Shield Principles", ainsi que divers extraits de sites internet consultés le 19 juin 2017.
c. N'ayant pas fait usage de leur droit à la réplique et duplique, les parties ont été informées de ce que la cause était gardée à juger par avis du greffe de la Cour du 28 août 2017.
C. Les faits pertinents suivants ressortent du dossier.
a. A______ est un établissement bancaire ayant son siège à Genève, dont les activités principales relèvent du private banking et de la gestion d'actifs.
b. B______ est employée auprès de la société C______.
Du 9 juin 2003 à une date indéterminée, elle a travaillé pour la filiale liechtensteinoise du groupe D______, à laquelle elle était directement rattachée.
Dans le cadre de ses activités, B______ a été amenée à ouvrir des comptes bancaires, notamment auprès de A______, en vue d'y déposer les avoirs de D______ issus de contrats d'assurance-vie. Elle figurait ainsi sur la carte de signature de D______ et bénéficiait d'un droit de signature.
c. Depuis 2008, un différend fiscal notoire oppose les autorités américaines à divers établissements bancaires suisses, suspectés d'avoir aidé certains clients à éluder l'impôt américain. Des enquêtes pénales ont été initiées contre certaines banques (dites de catégorie 1), au cours desquelles les autorités américaines ont exigé la transmission de toute information et documentation relative à leurs activités sur sol américain, et notamment les noms et dossiers personnels de leurs employés ou collaborateurs externes ou tiers.
d. Le 14 février 2013, les autorités suisses et américaines ont signé un accord, entré en vigueur le 2 juin 2014, visant à faciliter la mise en œuvre par les établissements financiers suisses de la loi fiscale américaine (Foreign Account Tax Compliance Act, ci-après : FATCA).
Cet accord exige des établissements financiers non-américains qu'ils s'enregistrent auprès de l'Internal Revenue Service (ci-après : l'IRS) et qu'ils concluent un contrat avec celle-ci (FFI Agreement) afin que les renseignements sur les comptes des personnes soumises à l'impôt aux Etats-Unis lui soient transmis, soit directement par l'établissement financier avec le consentement du titulaire du compte, soit, en l'absence d'un tel consentement, par l'intermédiaire d'une procédure d'assistance administrative spécialement réglementée reposant sur des demandes groupées.
e. Le 29 août 2013, ce différent fiscal a fait l'objet d'un règlement de principe entre la Suisse et les Etats-Unis, aux termes duquel le Département de la justice américain (ci-après : le DoJ) a mis à la disposition des banques suisses ne faisant pas l'objet d'une enquête pénale à cette date (dites de catégorie 2) un programme (ci-après : le Programme) leur permettant de régulariser leur situation liée à leurs activités passées en relation avec la clientèle américaine en vue d'éviter une poursuite pénale et une éventuelle inculpation.
La participation à ce Programme exige des banques une collaboration pleine et entière avec le DoJ et la transmission de données relatives aux membres de leur personnel ainsi que de tout gestionnaire, conseiller et autre individu ou entité agissant de façon similaire en lien avec la gestion des avoirs des clients en cause (chapitre II, lettre D chiffres 1 let. b et 2 let. b).
Le Programme précise que, s'il constate qu'une information transmise par une banque est fausse, incomplète ou source d'erreur, le DoJ peut refuser de conclure un accord de non poursuite. Si celui-ci a déjà été conclu, il peut intenter une action judiciaire, notamment pénale (chapitre II let. J).
Il est de plus prévu, au chapitre V let. B, que les informations personnelles transmises par les banques seront utilisées uniquement dans le but de faire appliquer le droit américain, ce qui peut inclure des actions fondées sur des mesures de réglementation, ou dans un but autorisé par le droit américain (for purpose of law enforcement [which may include regulatory action] in the United States or as otherwise permitted by US law).
f. A______ a décidé de participer en qualité de banque de catégorie 2 au Programme susmentionné.
Elle a ainsi requis et obtenu, par décision 24 janvier 2014 de la Confédération suisse, soit pour elle le Département fédéral des finances, l'autorisation de coopérer avec les autorités américaines compétentes dans le cadre de la législation suisse.
Reprenant les principes à respecter en matière de coopération, tels que fixés par le Conseil fédéral dans le cadre de sa décision-modèle du 3 juillet 2013, et les recommandations établies par le Préposé fédéral à la protection des données et à la transparence (PFPDT) les 15 octobre 2012 et 20 juin 2013, l'autorisation indiquait que les banques ne pouvaient coopérer avec les autorités américaines que dans le cadre de la législation suisse. Cette autorisation excluait uniquement une punissabilité en vertu de l'art. 271 ch. 1 CP, mais ne dispensait cependant pas du respect des autres dispositions du droit suisse, notamment de la prise en compte du secret d'affaires et du secret bancaire existants, des dispositions sur la protection des données et des obligations de l'employeur. En particulier, il convenait de procéder dans chaque cas à une pesée des intérêts en tenant compte des droits de la personnalité des personnes concernées au regard des documents considérés. Il était encore relevé l'intérêt important de la banque à coopérer avec les autorités américaines, dans la mesure où la collecte et la transmission des renseignements permettaient d'éviter une plainte, susceptible de mettre en péril ses transactions en dollars américains, ce qui pourrait nuire considérablement à ses activités, voire menacer son existence.
g. Par courrier du 11 mai 2015, A______ a informé B______ de sa participation au Programme américain et que, dans ce contexte, elle entendait transmettre au DoJ une liste comprenant son nom et sa fonction en lien avec un compte ouvert dans ses livres. Il s'agissait d'un seul compte concernant un produit d'assurance sur lequel B______ avait un pouvoir de signature.
h. Le 27 mai 2015, B______ s'est opposée à la transmission de toutes données la concernant.
i. Après une pesée des intérêts, A______ a maintenu sa décision de transmettre les données litigieuses, considérant que des intérêts privés et publics prépondérants justifiaient ce transfert. Elle a indiqué que le compte en question présentait des indices d'américanité en raison de l'adresse aux Etats-Unis de l'ayant droit économique et que son obligation de coopération lui imposait de communiquer le nom et la fonction de toute personne en lien avec ce type de comptes, quelle que soit leur activité.
j. Le 4 janvier 2016, la Banque a conclu un Non Prosecution Agreement (NPA) avec le DoJ, moyennant le paiement d'une amende de ______ USD.
Selon les termes de cet accord, qui renvoie aux clauses du Programme US, la banque s'engageait à communiquer des informations concernant notamment les individus ayant géré, conseillé ou supervisé les comptes concernés ainsi que les personnes ayant agi de façon similaire, dont elle avait déjà fourni une partie, et demeurait obligée de continuer à collaborer avec les autorités américaines pendant une période de quatre ans. En cas de violation de ses obligations, ce qui serait librement déterminé par la Division Fiscalité du DoJ, celui-ci se réservait le droit d'engager des poursuites pénales contre la Banque. Il était précisé que cet accord ne s’appliquait qu'à la banque, à l'exclusion de toutes autres entités ou individus, n'accordant ainsi aucune protection à ces derniers.
k. Par acte du 23 mars 2016, B______ a saisi le Tribunal d'une action en prévention d'une atteinte à la personnalité et a conclu à ce qu'interdiction soit faite à A______, sous menace de la peine prévue à l'art. 292 CP, de transmettre, communiquer ou porter à la connaissance de tiers, notamment le DoJ, des données la concernant ou pouvant l'identifier.
l. A______ s'est opposée à la demande, concluant à son rejet avec suite de frais et dépens et, subsidiairement, à ce que l'interdiction sollicitée ne déploie d'effet qu'en relation avec le programme du DoJ américain, visant au règlement du différend fiscal entre les banques suisses et les Etats-Unis d'Amérique, et pas en relation avec la transmission de données de manière générale si elle était requise par une autorité judiciaire ou administrative suisse, notamment l'Administration fédérale des contributions (AFC).
m. Devant le Tribunal, les parties ont persisté dans leurs conclusions.
A______ a exposé que B______ était concernée par un seul compte, qui avait fait l'objet d'une procédure de voluntary disclosure auprès des autorités fiscales administratives, de sorte que le nom de celle-ci avait d'ores et déjà été communiqué. E______, juriste représentant la Banque, a affirmé qu'il était certain que le nom de B______ avait été transmis aux autorités américaines, dans la mesure où le titulaire et ayant droit économique du compte avait effectué une procédure de régularisation dans le cadre de laquelle il avait dû transmettre la documentation d'ouverture du compte qui comportait le nom de cette dernière. Il a précisé que la procédure de régularisation se faisait avec l'IRS qui conservait les informations ainsi obtenues et les transmettait, sur demande, au DoJ.
Pour sa part, B______ a expliqué s'être occupée de la gestion administrative des contrats d'assurance-vie de D______. Elle a affirmé n'avoir jamais exercé de tâche de gestion, ni entrepris de démarche ou effectué de déplacement professionnel en lien avec les comptes ouverts par D______. Elle a confirmé que D______ s'était conformée à l'accord FATCA, mais ignorait les informations transmises dans ce cadre, en particulier si des données la concernant avaient été communiquées.
n. Les parties n'ayant pas sollicité d'autres actes d'instruction, le Tribunal a clôturé les débats principaux à l'issue de l'audience du 15 décembre 2016.
o. Le 11 janvier 2017, le PFPDT a publié une communication relative à la mise en place d'un nouveau cadre pour la transmission de données personnelles de la Suisse vers les Etats-Unis.
Intitulé Privacy Shield, ce cadre remplace l'accord "Safe Harbor", jugé insuffisant et officiellement abrogé par le Conseil fédéral. Il a pour but de renforcer l'application des principes de protection des données par les entreprises participantes et par une amélioration de la gestion et de la surveillance par les autorités américaines. Le PFPDT précise que grâce au Privacy Shield, les données personnelles exportées de la Suisse vers les Etats-Unis bénéficieront des mêmes normes que celles provenant de l'Union européenne, ce qui constitue un point fondamental pour la sécurité juridique des échanges économiques.
Selon le PFPDT, la mise en place de ce nouveau cadre permet de garantir, sous certaines conditions, un niveau de protection adéquat. Il a ajusté en conséquence la liste des Etas qu'il est tenu de publier en vertu de l'art. 7 OLDP. Celle-ci énonce désormais à propos des Etats-Unis que les organismes qui adhèrent au Privacy Shield pour les données provenant de la Suisse et qui figurent sur la liste du Département américain du commerce garantissent un niveau de protection adéquat au sens de l'art. 6 al. 1 LPD.
Le Département américain du commerce a publié sur son site internet une liste des organismes certifiés selon le Privacy Shield, laquelle comprenait 2202 entreprises au 19 juin 2017. Le DoJ ne fait pas partie de ces organismes.
D. Dans le jugement entrepris, le Tribunal a retenu que la communication des données litigieuses vers les Etats-Unis était illicite. D'une part, il a considéré qu'une telle communication constituerait une violation des règles sur l'entraide internationale en matière pénale ou administrative, dans la mesure où elle ne reposait sur aucune base légale formelle, l'autorisation délivrée par le DFF ne reposant elle-même pas sur une base légale suffisante, et consacrait ainsi une violation de l'art. 4 LPD. D'autre part, le premier juge a retenu que la transmission des données vers les Etats-Unis était également illicite au regard de l'art. 6 LPD, vu l’absence de législation assurant un niveau de protection adéquat dans cet Etat, et ne reposait sur aucun motif justificatif prévu par cette disposition. En effet, la banque ne démontrait pas que la communication des données litigieuses répondait à un intérêt public prépondérant. En particulier, elle ne démontrait pas que la transmission des données était indispensable pour sauvegarder la place financière suisse ou la réputation de la Suisse en tant que partenaire de négociation fiable, n'apportant aucun élément concrets permettant de retenir que les autorités américaines avaient de manière concrète l'intention de dénoncer le NPA ou que la non-transmission des données aurait des répercussions allant au-delà de sa propre personne.
EN DROIT
Il a été formé en temps utile et selon la forme prescrite par la loi (art. 130, 131, 145 al. 1 let. a et 311 al. 1 CPC).
Il est ainsi recevable.
1.2 La Cour revoir la cause avec un plein pouvoir d'examen (art. 310 CPC).
2.1 Selon l'art. 317 al. 1 CPC, les faits et moyens de preuve nouveaux ne sont pris en considération devant la Cour que s'ils sont invoqués ou produits sans retard (let. a) ou s'ils ne pouvaient l'être devant la première instance, bien que la partie qui s'en prévaut ait fait preuve de la diligence requise (let. b).
2.2 En l'espèce, les pièces produites par les parties datent de janvier et juin 2017 et se rapportent toutes à un changement de cadre réglementaire survenu postérieurement à la clôture des débats principaux, prononcée le 15 décembre 2016.
Produites avec la diligence requise, elles sont par conséquent recevables, ce qui n'est du reste pas contesté.
3.1 En matière de traitement de données, la loi fédérale sur la protection des données (LPD; RS 235.1) concrétise et complète l'art. 28 CC (arrêt du Tribunal fédéral 5A_22/2013 du 30 juin 2014 consid. 2.4.2 et les références doctrinales citées).
La communication transfrontière de données est régie par l'art. 6 LPD, qui prévoit qu'aucune donnée personnelle ne peut être communiquée à l'étranger si la personnalité des personnes concernées devait s'en trouver gravement menacée, notamment du fait de l'absence d'une législation assurant un niveau de protection adéquat (art. 6 al. 1 LPD).
La communication de données dans un Etat ne disposant pas d'une législation assurant un niveau de protection adéquat entraîne de par la loi une grave menace de la personnalité, comme une présomption irréfragable (Maurer/ Lambrou/ Steiner, in Basler Kommentar, Datenschutzgesetz Öffentlichkeitsgesetz, 3e éd, Bâle 2014, ad art. 6 LPD n. 11; Steinauer/Fountoulakis, Droit des personnes physiques et de la protection de l'adulte, Berne 2014, ad art. 6 LPD n. 706b; Epiney/Fasnacht, in Datenschutzrecht, Grundlagen und öffentliches Recht, Belser/Epiney/Waldmann [éd]., Berne 2011, § 10 n. 10; Rosenthal/Jöhri, Handkommentar zum Datenschutzgesetz, Zurich 2008, ad art. 6 LPD n. 27).
Dans un arrêt du 6 octobre 2015, la Cour de justice de l'Union européenne a eu l'occasion de relever que la législation américaine consacre la primauté des "exigences relatives à la sécurité nationale, [à] l'intérêt public et [au] respect des lois des Etats-Unis" sur les principes de la sphère de sécurité, si bien que les règles de protection prévues peuvent être écartées, sans limitation. Le régime américain de la sphère de sécurité rend ainsi possible des ingérences, par les autorités publiques américaines, dans les droits fondamentaux des personnes, sans qu'il n'existe de règles à caractère étatique destinées à limiter ces éventuelles ingérences ni de protection juridique efficace contre celles-ci (arrêt de la CJUE dans l'affaire C-362/2014 du 6 octobre 2015 consid. 86 s.).
Selon la liste publiée par le PFPDT mise à jour au 12 janvier 2017, depuis la conclusion de l'accord Privacy Shield, les Etats-Unis garantissent un niveau de protection adéquat, sous certaines conditions spécifiques. Ainsi, seuls les organismes qui adhèrent au Privacy Shield pour les données provenant de Suisse et qui figurent sur la liste du Département américain du commerce offrent une garantie suffisante au sens de l'art. 6 al. 1 LPD (art. 7 OLPD).
3.2 En l'espèce, il est acquis et non contesté que les informations que l'appelante entend transférer aux autorités américaines, comportant le nom de l'intimée ainsi que son ancienne fonction auprès d'elle en relation avec un compte bancaire, constituent des données personnelles au sens de la LPD, destinées à faire l'objet d'une communication transfrontalière hors de toute procédure d'entraide. Les transmissions de données vers les Etats-Unis peuvent désormais s'inscrire dans le cadre du nouvel accord dénommé Privacy Shield, qui remplace un précédent accord jugé insuffisant. Contrairement à l'avis de l'appelante, ce nouveau système ne s'applique pas à toutes les communications de données vers les Etats-Unis. Comme cela ressort clairement et sans équivoque de la liste des Etats tenue par le PFPDT, seuls les organismes qui adhèrent à ce programme et qui figurent sur la liste du Département américain du commerce peuvent se prévaloir de cet accord et des garanties qu'il confère. Or, les autorités et administrations publiques américaines ne font pas partie des entreprises concernées et rien n'indique qu'elles pourraient figurer sur la liste en question. Si le PFPDT a certes reconnu que le Privacy Shield offrait un niveau de protection adéquat, équivalent à celui appliqué aux données provenant de l'Union européenne, force est de constater qu'il n'est en l'occurrence pas applicable, le DoJ, à qui le transfert des données litigieuses est destiné, n'étant pas une entité participante. Par conséquent, c'est en vain que l'appelante tente de se prévaloir de cet accord pour admettre une protection suffisante des Etats-Unis.
Dans la mesure où le transfert des données litigieux n'est pas soumis au Privacy Shield et qu'au vu des principes rappelés ci-dessus, la législation des Etats-Unis ne peut garantir une protection des données privées, en particulier le fait que les données litigieuses ne soient pas utilisées à d'autres fins que l'exécution de l'accord entre l'appelante et le DoJ, c'est à bon droit que le Tribunal a retenu que les Etats-Unis n'offraient pas un niveau de protection suffisant.
En conséquence, la transmission transfrontière des données vers ce pays constitue en soi une grave menace de la personnalité de l'intimée et est, en principe, illicite au regard de l'art. 6 LPD, à moins de répondre à un motif justificatif de cet article.
L'appel sera donc rejeté sur ce point.
4.1 L'art. 6 al. 2 LPD prévoit qu'en dépit de l'absence d'une législation assurant un niveau de protection adéquat à l'étranger, des données personnelles peuvent être communiquées à l'étranger dans certains cas, notamment lorsque la communication est indispensable à la sauvegarde d'un intérêt public prépondérant (let. d).
Par intérêt public, on entend l'intérêt de la Suisse, qui comprend l'image du pays à l'étranger, notamment du fait de sa coopération avec d'autres Etats ou des organismes internationaux, par exemple en matière de lutte contre le terrorisme ou le blanchiment d'argent (Meier, Protection des données, Berne 2011, n. 1368). On entend également les cas où les intérêts d'Etats étrangers ont un effet réflexe sur la Suisse et par là coïncident indirectement avec l'intérêt public de la Suisse, notamment lorsqu'il s'agit de protéger une certaine branche de l'économie ou certains consommateurs en Suisse de sanctions explicites ou implicites de la part d'Etats étrangers, auxquelles ils seraient directement ou indirectement exposés en cas de coopération défaillante (Rosenthal/Jöhri, op. cit., n. 60 ad art. 6 LPD).
Le Tribunal fédéral a retenu, dans le cadre d'affaires en lien avec le Programme américain, qu'il existait un intérêt public considérable à ce que les accords conclus avec les Etats-Unis soient respectés, afin de mettre un terme au conflit fiscal sans aggravation du litige et à sauvegarder la réputation de la Suisse en tant que partenaire de négociation fiable (arrêts du Tribunal fédéral 4A_73/2017 du 26 juillet 2017 consid. 3.1; 4A_83/2016 consid. 3.3.1 et 3.3.4). En revanche, l'intérêt de la banque à sa survie n'est pas suffisant pour admettre l'application de l'art. 6 al. 2 LPD, dès lors qu'il s'agit d'un intérêt privé et non d'un intérêt public (arrêt du Tribunal fédéral 4A_73/2017 précité consid. 3.4.3).
Pour être autorisée, la communication des données doit être "indispensable", c’est-à-dire lorsqu'il faut admettre que, sans la livraison de celles-ci, le litige fiscal avec les Etats-Unis s'intensifierait, que la place financière suisse devrait en supporter les conséquences et que la réputation de la Suisse serait atteinte en tant que partenaire de négociation fiable (arrêt du Tribunal fédéral 4A_83/2016 du 22 septembre 2016 consid. 3.3.4).
En exigeant que l'intérêt public soit prépondérant, l'art. 6 al. 2 let. d LPD implique une pesée entre les intérêts privés des personnes concernées et l'intérêt public retenu. L'existence de l'intérêt public prépondérant doit être évaluée dans chaque cas concret, en fonction de l'ensemble des circonstances en présence (arrêts du Tribunal fédéral 4A_73/2017 du 26 juillet 2017 consid. 3.1; 4A_83/2016 consid. 1.3 et 3.3). L'intérêt public ne permet pas de justifier la communication de données de manière générale ou permanente pour une catégorie de cas. Il faut en particulier tenir compte de l'intérêt de la personne concernée à ce que ses données ne soient pas communiquées vers un Etat sans protection des données adéquate (évaluation notamment du risque de détournement de finalité ou de publication des données, Walter, Communication de données personnelles à l'étranger, in La révision de la Loi sur la protection des données, Epiney/Hobi [éd.], Zürich 2009, p. 132; cf. ég. Maurer/Lambrou/ Steiner, op. cit., n. 32 ad art. 6 LPD; Epiney/ Fasnacht, op. cit., § 10 n. 23; Meier, op. cit., n. 1370 et ss; Rosenthal/ Jöhri, op. cit., n. 62 ad art. 6 LPD).
La dérogation fondée sur l'intérêt public doit être interprétée restrictivement, de sorte à ne pas encourager des communications transfrontalières dans des conditions qui ne répondent pas à celles prévues par les traités d'entraide (Meier, op. cit., n. 1374).
Le fardeau de la preuve de l'existence d'un motif justificatif au sens de l'art. 6 al. 2 LPD appartient à celui qui exporte les données (art. 8 CC; Meier, op. cit., n. 1311; Rosenthal/Jöhri, op. cit., n. 36 i.f ad art. 6 LPD).
4.2 En l'espèce, comme cela ressort du considérant précédent, les Etats-Unis ne disposent pas d'une législation garantissant un niveau de protection adéquate concernant la transmission des données litigieuse au DoJ, de sorte qu'elle demeure soumise à l'art. 6 LPD et non à l'art. 13 LPD, comme invoqué par l'appelante. Il s'ensuit que seul un intérêt public prépondérant serait susceptible de s'opposer à la transmission des données, l'intérêt privé de la Banque n'étant en soi pas suffisant.
Si le Tribunal fédéral a certes retenu qu'il existe un intérêt public général à ce que le litige fiscal avec les Etats-Unis ne connaisse pas une nouvelle escalade de tensions, l'appelante ne démontre cependant pas que cet intérêt public imposerait en l'occurrence la communication des données litigieuses, et ce de manière prépondérante par rapport à l'intérêt de l'intimée de s'y opposer.
Il est en effet aujourd'hui établi que l'appelante a pu parvenir à un accord de non poursuite sans transmettre la documentation litigieuse. Si les autorités américaines se réservent certes le droit de revenir sur cet accord en cas de documentation fausse ou incomplète, rien ne permet d'établir qu'elles considèrent que ce soit en l'occurrence le cas. L'appelante n'allègue en particulier pas avoir fait l'objet de relances ou de pressions de la part des autorités américaines afin qu'elle transmette tout ou partie de la documentation concernant l'intimée ou tout autre documentation complémentaire. Ainsi, bien que la possibilité demeure que le DoJ considère la collaboration de la banque insuffisante, ce risque peut être relativisé plus d'une année et demie après la signature de l'accord et le paiement de l'amende de ______ USD. Dans ce contexte, il est peu probable que la non-communication des données litigieuses, qui ne portent au final que sur un nom en lien avec un seul compte bancaire, serait de nature à remettre en cause l'accord trouvé avec les autorités américaines. L'appelante ne cite au demeurant aucun cas où une banque aurait vu son accord annulé ou aurait fait l'objet d'une poursuite ultérieure en raison d'une communication jugée incomplète. En tout état de cause, il n'est pas établi qu'une annulation du Non-Prosecution Agreement conclu au mois de janvier 2016 aurait des répercussions sur l'ensemble de la place financière suisse, respectivement raviverait le conflit fiscal opposant les banques suisses aux autorités américaines.
Pour sa part, l'intimée conserve un intérêt marqué à ce que ses données ne soient pas transmises aux Etats-Unis et en particulier au DoJ. Comme l'a relevé à juste titre le Tribunal, l'intimée a le droit à ce que sa sphère privée et sa personnalité soient protégées et à ce que ses données personnelles ne soient pas divulguées vers un pays, respectivement une institution qui n'assure pas une protection des données suffisante. De plus, les autorités américaines ont constamment affirmé qu'elles déploieraient tous les efforts pour identifier et poursuivre les personnes ayant participé et/ou facilité la mise en place des comptes non déclarés au fisc américain, notamment au moyen des informations obtenues par le biais des banques suisses. Le Programme américain prévoit d'ailleurs expressément que les informations obtenues par le biais des banques suisses puissent être utilisées en vue de faire appliquer le droit américain, lequel autorise, au nom de la sécurité nationale, de l'intérêt public et du respect des lois des Etats-Unis, des ingérences par les autorités publiques dans les droits fondamentaux des individus. Il existe donc un risque que l'intimée puisse paraître aux yeux d'enquêteurs américains impliquée et/ou renseignée sur les activités de clients américains de la banque, compte tenu de l'accès dont elle disposait sur certains comptes, et partant, faire l'objet d'interrogatoires et/ou de poursuites pénales.
L'appelante ne saurait être suivie lorsqu'elle prétend que l'intimée n'aurait plus d'intérêt privé à faire valoir dans la mesure où les données la concernant sont déjà en mains des autorités américaines. En premier lieu, comme l'a relevé le premier juge, il n'est pas établi que les données relatives à l'intimée soient déjà connues du DoJ. Bien que l'ayant droit économique du compte en question ait participé à une procédure de dénonciation volontaire (voluntary disclosure), les renseignements fournis par ce dernier aux autorités américaines ne sont en revanche pas connus, le formulaire vierge du offshore voluntary disclosure letter produit par l'appelant à ce propos n'apportant aucun élément concret sur les informations effectivement transmises. Quant à la transmission de données dans le cadre de l'accord FATCA, les pièces versées au dossier ne permettent pas non plus de retenir que le nom et/ou la fonction de l'intimée ait été divulgué. Si l'employeur de cette dernière s'est certes conformé à ses obligations découlant de cet accord, l'extrait produit par l'appelante ne permet pas de vérifier la teneur des informations réellement transmises et si l'intimée était concernée. Le fait que l'intimée n'ait pas entrepris des mesures pour s'opposer au transfert de données en application de l'accord FATCA ne permet pas d'aboutir à une conclusion différente. Par ailleurs, ces procédures de régularisation sont intervenues auprès des autorités fiscales, sans qu'il ne soit démontré que celles-ci aient transmis ou entendent transmettre les données obtenues aux autorités de poursuite pénale, soit en particulier le DoJ.
En tout état de cause, même à considérer que le nom et la fonction de l'intimée aient déjà été transmis au fisc américain, celle-ci conserve un intérêt à ce que ces données ne soient pas confirmées par la Banque, ne serait-ce qu'afin d'éviter d'attirer davantage l'attention des autorités américaines sur sa personne. La communication envisagée demeure par conséquent susceptible de porter gravement atteinte à la personnalité de l'intimée.
Au vu de ce qui précède, l'appelante, à qui il incombe d'établir le caractère prépondérant de l'intérêt public qu'elle invoque, ne démontre pas un risque concret plus important que celui encouru par l'intimée.
L'appel sera dès lors rejeté.
La transmission de données litigieuse étant illicite au regard de l'art. 6 LPD, cela suffit à sceller le sort de la cause. Point n'est ainsi besoin d'examiner sa licéité sous l'angle de l'art. 4 LPD.
Les frais judiciaires d'appel seront mis à la charge de l'appelante, qui succombe (art. 106 al. 1 CPC). Ils seront arrêtés à 5'000 fr. (art. 18 et 35 RTFMC - E 1 05.10) et entièrement compensés avec l'avance fournie par cette dernière, qui reste acquise à l'Etat à due concurrence (art. 111 al. 1 CPC), les Services financiers de l'Etat de Genève étant invités à restituer à l'appelante le solde en 2'000 fr.
L'appelante sera condamnée à payer à l'intimée la somme de 4'000 fr. à titre de dépens d'appel (art. 86 et 90 RTFMC).
PAR CES MOTIFS, La Chambre civile :
A la forme :
Déclare recevable l'appel interjeté par A______ contre le jugement JTPI/4283/2017 rendu le 27 mars 2017 par le Tribunal de première instance dans la cause C/20656/2015-8.
Au fond :
Confirme le jugement entrepris.
Déboute les parties de toutes autres conclusions.
Sur les frais :
Arrête les frais judiciaires d'appel à 5'000 fr., les met à la charge de A______ et les compense avec l'avance de frais versée par cette dernière, qui reste acquise à l'Etat de Genève à due concurrence.
Invite les Services financiers de l'Etat de Genève à restituer le solde en 2'000 fr. à A______.
Condamne A______ à verser à B______ la somme de 4'000 fr. à titre de dépens d'appel.
Siégeant :
Monsieur Laurent RIEBEN, président; Monsieur Patrick CHENAUX, Madame Fabienne GEISINGER-MARIETHOZ, juges; Madame Anne-Lise JAQUIER, greffière.
Le président :
Laurent RIEBEN
La greffière :
Anne-Lise JAQUIER
Indication des voies de recours :
Conformément aux art. 72 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF; RS 173.110), le présent arrêt peut être porté dans les trente jours qui suivent sa notification avec expédition complète (art. 100 al. 1 LTF) par-devant le Tribunal fédéral par la voie du recours en matière civile.
Le recours doit être adressé au Tribunal fédéral, 1000 Lausanne 14.
Valeur litigieuse des conclusions pécuniaires au sens de la LTF supérieure ou égale à 30'000 fr.