POUVOIR JUDICIAIRE
C/18692/2014-4 CAPH/204/2015
ARRÊT
DE LA COUR DE JUSTICE
Chambre des prud'hommes
DU 11 dEcembre 2015
Entre
A_____, sise _____, Genève, appelante d'un jugement rendu par le Tribunal des prud'hommes le 13 mai 2015 (JTPH/194/2015), comparant par Me Guy VERMEIL, avocat, Lenz & Staehelin, route de Chêne 30, 1211 Genève 17, en l'Étude duquel elle fait élection de domicile,
d'une part,
et
Monsieur B_____, domicilié _____, (GE), intimé, comparant par Me Judith KUENZI, avocate, Solutions Avocats, rue du Rhône 61, case postale 3558, 1211 Genève 3, en l'Étude de laquelle il fait élection de domicile,
d'autre part.
EN FAIT
A. a. A_____ est une société ayant son siège social à Genève et dont le but consiste en l'exploitation d'une banque.
B_____ a été employé par A_____ du 4 août 1988 jusqu'au 31 août 2010, date à laquelle les rapports de travail ont pris fin à son initiative. Il s'occupait essentiellement du développement de la clientèle hispanophone, plus précisément de la zone Argentine et Espagne. Dès 2005, il a été nommé responsable de la zone Amérique latine et péninsule ibérique, avec la fonction de sous-directeur et membre de la Direction depuis 2007.
Ses prestations de travail ont donné pleine satisfaction à son employeur.
b. Dans le courant de l'année 2010, dans le cadre du différend fiscal opposant les Etats-Unis d'Amérique à la Suisse, le US Department of Justice (ci-après : " DoJ " et la US Securities and Exchange Commission ont ouvert des enquêtes contre quatorze établissements bancaires ayant leur siège en Suisse. En substance, les autorités américaines reprochaient aux banques concernées, en lien avec leurs activités transfrontières sur le sol américain, d'avoir aidé certains de leurs clients à se soustraire à leurs obligations à l'égard du fisc américain et de ne pas avoir respecté la réglementation bancaire américaine dans le cadre de leur démarchage à l'égard de la clientèle résidente américaine. Les enquêtes menées par les autorités américaines étaient en conséquence susceptibles d'aboutir à une inculpation et à des poursuites pénales sur sol américain contre les banques concernées.
c. Par courrier du 17 juin 2014, A_____ a fait savoir à B_____ qu'elle avait décidé de participer au programme mis en place par le DoJ et ayant pour but de régulariser d'éventuels problèmes fiscaux américains (Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks, ci-après : le "Programme").
La banque précisait que, selon ce Programme, elle était requise de transmettre au DoJ certaines informations en relation avec certains comptes bancaires détenus dès le 1er août 2008 et clôturés depuis. Ces informations comprenaient entre autres les noms et fonctions de tous les chargés de relation clientèle, gérants externes, conseillers financiers, trustee, fiduciaires, nominees, avocats, comptables ou autre personne ou société connue de la banque pour avoir agi d'une manière analogue en relation avec le compte concerné.
Elle informait ainsi B_____ qu'elle avait l'intention de transmettre au DoJ une "Liste II D 2" contenant son nom et sa fonction.
A_____ ajoutait qu'elle avait obtenu du Département fédéral des finances l'autorisation de coopérer avec le DoJ au regard de l'art. 271 du Code pénal suisse.
d. Le 1er juillet 2014, après avoir eu accès aux documents que la banque entendait transmettre aux autorités américaines, B_____ a fait savoir à celle-ci qu'il s'opposait à la transmission des informations le concernant, au motif qu'il n'avait pas suffisamment été impliqué dans les relations d'affaires des clients concernés pour que des informations y relatives soient transmises. Il faisait notamment valoir le principe de proportionnalité, prévu à l'art. 4 al. 2 de la Loi sur la protection des données (ci-après LPD).
e. Par lettre du 1er septembre 2014, A_____ a répondu que son analyse démontrait qu'il était enregistré informatiquement comme responsable des comptes en question, lesquels avaient un lien avec les Etats-Unis. Le fait qu'il n'avait pas été impliqué de manière plus étroite dans la gestion du compte ou qu'il l'ait été par l'intermédiaire de tiers-gérant ou de A_____ _____ (Etats-Unis) ne changeait rien à l'obligation de la banque de divulguer ses données personnelles au DoJ dans le cadre du Programme qu'elle s'était engagée à appliquer.
f.a Le Programme précité a été publié par le DoJ le 29 août 2013 et s'adresse à toutes les banques suisses qui n'étaient jusqu'alors pas impliquées dans une procédure pénale en matière fiscale avec les Etats-Unis.
Il comporte des prescriptions devant permettre aux banques concernées de régler directement leur cas avec les autorités américaines compétentes. Chaque établissement bancaire suisse a la possibilité de requérir un accord de non-poursuite judiciaire en échange d'une complète collaboration avec les autorités américaines.
Avant l'exécution de cet accord de non-poursuite, la banque doit notamment communiquer aux autorités américaines les noms et fonctions des personnes qui ont structuré, opéré ou supervisé des opérations financières transfrontalières avec les Etats-Unis entre le 1er août 2008 et le 31 décembre 2014 (chapitre II, lettre D chiffre 1 du Programme).
Lors de l'exécution de l'accord de non-poursuite, pour tous les comptes ayant un lien avec les Etats-Unis clôturés pendant la période précitée, la banque doit notamment transmettre le nom et la fonction de tout gestionnaire de la relation client, conseiller à la clientèle, gestionnaire d'actifs, conseiller financier, trustee, fiduciaire, agent, avocat, comptable, et autre individu ou entité agissant de façon similaire et étant en lien avec ledit compte à la connaissance de la banque durant la période applicable (chapitre II, let. D ch. 2, let. b).
La let. J du chapitre II de ce Programme précise que, s'il constate qu'une information transmise par une banque est fausse, incomplète ou source d'erreur, le DoJ peut refuser de conclure un accord de non poursuite. Si celui-ci a déjà été conclu, il peut intenter une action judiciaire, notamment pénale.
Il est de plus prévu à la let. B du chapitre V que les informations personnelles transmises par les banques seront utilisées uniquement en vue de faire appliquer le droit américain, ce qui peut inclure des actions fondées sur des mesures de réglementation.
f.b Le communiqué de presse du DoJ du 29 août 2013, accompagnant la publication de ce Programme, indique que celui-ci améliorera de manière significative ses efforts visant à poursuivre de manière agressive ceux qui ont tenté d'échapper à la loi en cachant leurs biens en dehors des Etats-Unis.
Le DoJ relève en outre que ce Programme lui permettra d'obtenir des informations supplémentaires sur les personnes ayant utilisé des comptes bancaires off-shore secrets et sur ceux, aux Etats-Unis et à l'étranger, qui ont mis en place et facilité l'utilisation de ces comptes.
Il est souligné que, depuis 2009, le DoJ a poursuivi plus de 30 banquiers et 68 détenteurs de comptes pour des violations en lien avec leurs activités bancaires off-shore. Le DoJ précise avoir assuré aux autorités suisses qu'il avait compris que la seule mention du nom d'une personne dans les documents transmis ne voulait pas nécessairement dire que cette personne était ou n'était pas coupable de mauvaise conduite.
f.c Enfin, toujours le même 29 août 2013, les autorités suisses et américaines ont publié un Joint Statement, précisant entre autres que les données personnelles transmises aux Etats-Unis ne pouvaient être conservées que pour le temps nécessaire dans le cadre des procédures visant le respect du droit américain.
g. Dans le contexte de la transmission de données personnelles concernant des employés de banques suisses aux autorités américaines, le Préposé fédéral à la protection des données et à la transparence a émis le 15 octobre 2012 une recommandation s'adressant à cinq banques dont il s'était saisi du cas.
Il a relevé que les Etats-Unis ne disposaient pas d'une législation assurant un niveau de protection adéquat, au sens de l'art. 6 LPD; la transmission de données aux autorités de ce pays ne pouvait dès lors être envisagée que dans les cas prévus à l'al. 2 let. d de cette disposition.
A ce propos, sur la base des explications des banques concernées, le Préposé a retenu qu'il existait d'une manière générale un intérêt public à la transmission des données concernées; toutefois, le traitement de ces données devait respecter les principes posés par la LPD, en particulier ceux de la bonne foi, de la proportionnalité et de la transparence. En pratique, il convenait donc de procéder dans chaque cas à une pesée des intérêts entre l'intérêt public généralement reconnu et l'intérêt concret mentionné par la personne concernée au regard des documents considérés.
h. L'Association suisse des employés de banque, l'Association patronale des banques en Suisse et l'Association suisse des banquiers ont par ailleurs conclu le 29 mai 2013 une convention ayant pour objet de réglementer les conséquences pour les collaborateurs des livraisons aux autorités américaines de documents contenant leurs données personnelles. Cette convention indique notamment dans son préambule que, dans l'intérêt de la place financière suisse et de ses collaborateurs, l'Association suisse des employés de banque soutient les efforts des établissements bancaires et des cercles politiques pour trouver un règlement amiable aux litiges en matière fiscale avec les Etats-Unis.
Le 12 juin 2014, l'Association suisse des employés de banque a effectué un bilan intermédiaire sur les questions de transmission de données, duquel il ressort que, dans la mesure où l'employé n'avait pas démarché activement des citoyens américains, avait géré des comptes de moins de 1 million de francs et avait effectué des transactions ne relevant pas de l'évasion fiscale, les risques d'une inculpation par les autorités américaines étaient minimes. Une fois que l'accord entre la banque de l'employé et les Etats-Unis était conclu, les risques d'être retenu comme témoin se réduisaient aussi drastiquement. Les risques marginaux qui existeraient encore pour des employés seraient causés par des clients de la banque qui n'auraient pas réglé leur situation fiscale. Il était cependant précisé que, malgré les mesures prises par l'Association, le problème demeurait réel pour les personnes concernées.
B. a. Par décisions sur mesures superprovisionnelles et provisionnelles des 17 septembre et 13 novembre 2014, faisant suite à une requête de B_____, le Tribunal des prud'hommes a fait interdiction au A_____ de transmettre, communiquer ou porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, les documents mentionnant le nom de B_____ ou permettant de l'identifier et ce dans le cadre du Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks du Département de la Justice des Etats-Unis d'Amérique. Cette interdiction a été prononcée sous la menace de la peine prévue à l'article 292 CP.
Un délai de trente jours a été imparti à B_____ pour faire valoir son droit en justice.
b. Par requête déposée le 15 décembre 2014, B_____ a conclu à ce que le Tribunal fasse interdiction au A_____, sous la menace de la peine prévue à l'article 292 CP, de transmettre, communiquer ou porter à la connaissance de tiers ou d'Etat tiers, de quelque manière que ce soit et sur quelque support que ce soit, les documents mentionnant le nom de B_____ ou permettant de l'identifier et ce dans le cadre du Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks du Département de la Justice des Etats-Unis d'Amérique. Il a également conclu à la condamnation de sa partie adverse aux frais et dépens de la procédure.
A l'appui de ses conclusions, B_____ a exposé qu'il n'était intervenu qu'en relation avec cinq des vingt-six comptes concernés et que ces cinq comptes n'avaient pas de lien avec des personnes américaines assujetties à l'impôt aux Etats-Unis. Il n'avait participé ni à l'ouverture, ni à la gestion des autres comptes.
La transmission envisagée de ses données était disproportionnée et constituait une atteinte à sa personnalité. Elle pouvait en effet entraîner un risque d'interpellation, d'arrestation, voire d'inculpation.
L'intérêt dont se prévalait la banque était purement financier et ne devait pas prévaloir sur son intérêt à ne pas faire potentiellement l'objet de poursuites pénales aux Etats-Unis.
c. Par mémoire de réponse déposé le 13 février 2015, A_____ a conclu au déboutement de B_____ de ses conclusions, avec suite de frais et dépens.
Elle a expliqué que le traitement de données était licite, dans la mesure où les données personnelles traitées étaient celles nécessaires à l'exécution du contrat, à savoir celles dont la banque avait besoin pour satisfaire ses obligations légales ou contractuelles, voire ses prérogatives d'employeur.
La protection de la personnalité de B_____ était assurée car le DoJ avait expressément indiqué que la transmission du nom d'un collaborateur dans le cadre du Programmne n'était pas de nature à fonder per se une suspicion à l'égard de celui-ci. Les autorités américaines avaient en outre indiqué qu'elles entendaient utiliser ces données uniquement dans le cadre de procédures visant le respect du droit engagées aux Etats-Unis ou autorisées par le droit américain et qu'elles ne seraient conservées que pour la durée nécessaire au but de leur transmission.
L'Association suisse des employés de banque avait d'ailleurs retenu que les risques d'inculpation aux Etats-Unis d'employés de banque dont les noms avaient été transmis dans le cadre du Programme étaient minimes, ce que la Cour des plaintes du Tribunal pénal fédéral avait confirmé.
Elle avait un intérêt prépondérant à participer au Programme car, à défaut de communication des informations requises, le DoJ pourrait refuser de conclure avec elle un accord de non-poursuite, ce qui pourrait entraîner son inculpation pénale. Cette communication était indispensable à l'exercice ou à la défense de ses intérêts en justice.
Six des vingt-six titulaires des comptes concernés avaient d'ores et déjà volontairement annoncé leurs avoirs aux autorités américaines, de sorte que le nom de B_____ avait certainement déjà été communiqué au DoJ.
Par ailleurs, sur l'ensemble des (anciens) employés concernés par les transmissions de données, seuls moins de 5% s'y étaient opposés. Enfin, B_____ n'avait rien à craindre car il affirmait avoir toujours suivi les directives de la banque en matière de blanchiment et d'évasion fiscale.
d. Par courrier du 18 mars 2015, B_____ a conclu préalablement à la production par A_____, dans leur intégralité, des pièces concernant les comptes bancaires dont la transmission était prévue, lesquelles étaient partiellement caviardées. Il importait en effet de savoir quelle était la provenance des comptes concernés.
A_____ s'est opposée à cette requête, au motif que cette information n'était pas pertinente.
Par ordonnance du 31 mars 2015, le Tribunal des prud'hommes a rejeté la requête en production de pièces formée par B_____.
e. Lors de l'audience de débats principaux du 23 avril 2015, B_____ a indiqué qu'il n'était concerné par le Programme qu'en rapport avec cinq comptes. En revanche, il n'avait jamais géré les vingt-et-un autres comptes pour lesquels la banque avait prétendument trouvé un lien d'américanité.
Lesdits comptes, qui étaient gérés par des gestionnaires externes, lui avaient été attribués par défaut, uniquement, parce qu'il couvrait la zone géographique d'où provenaient les titulaires des comptes.
Par ailleurs, il était propriétaire d'un bien immobilier ainsi que d'un compte bancaire à _____ (Etats-Unis), où il se rendait régulièrement avec sa famille. Il craignait qu'en cas de transmission de ses données personnelles aux autorités américaines il ne soit arrêté, questionné, bloqué à l'immigration, voire même poursuivi. Il estimait qu'il n'y avait actuellement aucune garantie sur l'utilisation que le DoJ ferait de ses données. Il avait pour le surplus toujours suivi les instructions de son employeur et notamment les directives relatives au blanchiment d'argent et d'évasion fiscale.
A_____ a exposé avoir environ mille deux cent collaborateurs, dont moins de cinq pour cent étaient concernés par la problématique de la transmission de données personnelles. Parmi les personnes concernées, il y avait eu quelques oppositions, dont une dizaine faisaient l'objet de procédures.
A l'issue de l'audience, les parties ont persisté dans leurs conclusions et le Tribunal a gardé la cause à juger.
f. Par jugement du 13 mai 2015, reçu par A_____ le 18 mai 2015, le Tribunal a fait interdiction à celle-ci, sous la menace de la peine prévue par l'article 292 CP, de transmettre, communiquer ou porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, les documents mentionnant le nom de B_____ ou permettant de l'identifier et ce dans le cadre du Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks du Département de la Justice des Etats-Unis d'Amérique (chiffre 2 du dispositif), débouté les parties de toutes autres conclusions (ch. 3) et dit qu'il n'était pas alloué de dépens (ch. 4).
Le Tribunal a considéré qu'en application de l'art. 328b CO, qui consacrait un régime plus strict que celui prévu par la LPD, A_____ n'était autorisée à transmettre à des tiers que des données portant sur les aptitudes de B_____ à remplir son emploi ou qui étaient nécessaires à l'exécution du contrat de travail. In casu, ces conditions n'étaient pas réalisées.
En tout état de cause, la transmission de données projetée était contraire aux dispositions de la LPD. A_____ n'avait pas établi avoir un intérêt prépondérant à cette communication. Elle n'avait notamment pas démontré être concrètement menacée du dépôt imminent d'une plainte pénale ni que son éventuelle disparition à la suite d'une telle plainte perturberait le système économique suisse. Il n'était pas prouvé non plus que l'absence de communication des données litigieuses l'empêcherait d'obtenir un accord de non-poursuite. Par contre, B_____, qui se rendait régulièrement aux Etats-Unis et y possédait des biens courait un risque d'y être arrêté, interrogé, voire même inculpé.
C. a. Par acte déposé à la Cour de justice le 17 juin 2015, A_____ a formé appel de ce jugement, dont elle a sollicité l'annulation, avec suite de frais et dépens.
b. Par réponse du 21 août 2015, B_____ a conclu à la confirmation du jugement querellé, avec suite de frais et dépens.
c. Les parties ont été informées le 28 septembre 2015 de ce que la cause était gardée à juger, l'appelante n'ayant pas fait usage de son droit à la réplique.
d. Les arguments des parties seront examinés en tant que de besoin ci-après.
EN DROIT
Il est ainsi recevable.
1.2 L'appel peut être formé pour violation du droit et/ou constatation inexacte des faits (art. 310 CPC). Le juge d'appel dispose d'un pouvoir de cognition complet et revoit librement les questions de fait comme les questions de droit. En particulier, il contrôle librement l'appréciation des preuves effectuée par le juge de première instance et vérifie si celui-ci pouvait admettre les faits qu'il a retenus (ATF 138 III 374 consid. 4.3.1; arrêt du Tribunal fédéral 4A_153/2014 du 28 août 2014 consid. 2.2.3).
1.3 La compétence à raison de la matière du Tribunal des prud'hommes pour statuer sur la présente cause n'est, à juste titre, remise en cause par aucune des parties.
Le présent litige découle en effet d'un contrat de travail au sens du titre dixième du CO, de sorte que le Tribunal des prud'hommes était compétent pour en connaître en application de l'art. 1 let a) de la Loi sur le Tribunal des prud'hommes.
Le fait que l'art. 328b CO, sur lequel l'action est fondée, renvoie aux dispositions de la LPD, ne modifie pas la compétence des juridictions prud'hommales pour connaître du litige (Dunant, Commentaire du contrat de travail, 2013, n. 111, ad. art. 328b CO; Aubert, Commentaire romand, n. 1, ad art. 328b CO; Meier, Protection des données, 2011, n. 2061).
2.1 Aux termes de l'article 328 al. 1 CO, l'employeur protège et respecte, dans les rapports de travail, la personnalité du travailleur; il manifeste les égards voulus pour sa santé et veille au maintien de la moralité.
L'article 328 CO instaure une protection plus étendue que celle qu'assurent les articles 27 et 28 du Code civil. D'une part, cette disposition interdit à l'employeur de porter atteinte, par ses directives, aux droits de la personnalité du travailleur. D'autre part, elle impose à l'employeur la prise de mesures concrètes en vue de garantir la protection de la personnalité du travailleur, laquelle englobe notamment sa vie et sa santé, son intégrité corporelle et intellectuelle, sa dignité, son honneur personnel et professionnel, sa position et la considération dont il jouit dans l'entreprise (Wyler, Droit du travail, 2014, p. 310 ss; Aubert, op. cit., n. 2 et 3 ad art. 328 CO; arrêt du Tribunal fédéral 4C.253/2001 du 18 décembre 2001, consid. 2 c).
Aux termes de l'article 328b CO, l'employeur ne peut traiter des données concernant le travailleur que dans la mesure où ces données portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l'exécution du contrat de travail. En outre, les dispositions de la loi fédérale du 19 juin 1992 sur la protection des données sont applicables.
Sont considérées comme données personnelles toutes les informations qui se rapportent à une personne identifiée ou identifiable. Il s'agit dans les relations de travail, de tous renseignements, indications ou notes concernant la personne du travailleur, et qui portent tant sur sa vie privée que sur sa vie professionnelle, que le support soit manuel ou informatique et que les données aient été recueillies par l'employeur lui-même ou par un tiers auquel il a confié cette tâche (Dunand, Commentaire du contrat de travail, 2013, n. 14 ad art. 328b CO, p. 322 et les références citées).
L'introduction de l'article 328b CO dans l'ordre juridique suisse a été rendue nécessaire pour protéger la personnalité du travailleur au moyen d'une disposition de protection des données spécifique. Dans la même perspective, la portée de l'article 362 CO a été étendue. Le Conseil fédéral a jugé ces apports à la législation sur le contrat de travail comme indispensables. En effet, plus qu'aucun rapport juridique, le rapport de travail donne lieu à la collecte et au traitement de données personnelles de toute nature et pendant une longue durée. Il se justifie également d'accorder une protection particulière au travailleur, car il dépend en fait et en droit de son employeur. L'article 328b CO complète la loi sur la protection des données en ce sens qu'il détermine la nature des informations que l'employeur est en droit de traiter sur ses employés (Message concernant la Loi fédérale sur la protection des données du 23 mars 1988, FF 1988 II 494).
La protection conférée par l'article 328b CO perdure au-delà de la fin des rapports de travail (ATF 131 V 298, consid. 6.1).
2.2 La LPD vise quant à elle à protéger la personnalité et les droits fondamentaux des personnes qui font l'objet d'un traitement de données (art. 1 LPD).
L'art. 4 al. 1 LPD prévoit que tout traitement de données doit être licite. Leur traitement doit être effectué conformément aux principes de la bonne foi et de la proportionnalité (al. 2). Les données personnelles ne doivent être traitées que dans le but qui est indiqué lors de leur collecte, qui est prévu par une loi, ou qui ressort des circonstances (al. 3).
Le principe de proportionnalité implique notamment que le traitement de données doit être apte à atteindre le but visé, doit être nécessaire, en ce sens que, parmi plusieurs moyens adaptés, il est celui qui porte l'atteinte la moins grave aux intérêts en cause et doit être proportionnel, au sens strict du terme, c'est-à-dire se justifier au vu d'une comparaison entre les intérêts de l'auteur du traitement et de ceux de la personne concernée (Steinauer/Fountoulakis, Droit des personnes physiques et de la protection de l'adulte, 2014, p. 297 et 298, n. 702).
Celui qui traite des données personnelles doit s'assurer qu'elles sont correctes (art. 5 al. 1 LPD).
La communication transfrontière de données est régie par l'art. 6 LPD, qui prévoit qu'aucune donnée personnelle ne peut être communiquée à l'étranger si la personnalité des personnes concernées devait s'en trouver gravement menacée, notamment du fait de l'absence d'une législation assurant un niveau de protection adéquat (art. 6 al. 1 LPD).
Les Etats-Unis ne disposent pas d'une législation assurant un niveau de protection adéquat des données au sens de l'art. 6 al. 1 LPD (Recommandation du Préposé fédéral à la protection des données et à la transparence du 15 octobre 2012).
La Cour de justice de l'Union européenne, dans un arrêt du 6 octobre 2015, a confirmé ce qui précède. Elle a souligné à cet égard que les autorités publiques américaines peuvent accéder de manière massive et indifférenciée aux données transférées depuis l'étranger, sans assurer de protection juridique efficace aux personnes concernées, et cela même dans le cadre de l'accord de protection des données "Safe Harbor" conclu entre l'Europe et les Etats-Unis, et auquel la Suisse a aussi adhéré.
Une communication transfrontière vers un Etat qui ne possède pas un niveau de protection adéquat constitue un traitement illicite, à moins que l'un des motifs justificatifs prévu par l'art. 6 al. 2 LPD ne soit réalisé. D'autres motifs justificatifs selon l'art. 13 LPD ne peuvent pas être invoqués (Steinauer/Fountoulakis, op. cit., p. 303, n. 706 c et réf. citées).
La preuve de l'existence d'un motif justificatif au sens de l'art. 6 al. 2 LPD appartient à celui qui exporte des données (Meier, op. cit., n. 1311).
2.2.1 Selon l'art. 6 al. 2 LPD, en dépit de l'absence d'une législation assurant un niveau de protection adéquat à l'étranger, des données personnelles peuvent être communiquées à l'étranger dans certains cas, notamment lorsque des garanties suffisantes, notamment contractuelles, permettent d'assurer un niveau de protection adéquat à l'étranger (let. a) ou lorsque la communication est, en l'espèce, indispensable soit à la sauvegarde d'un intérêt public prépondérant, soit à la constatation, l'exercice ou la défense d'un droit en justice (let. d).
En matière d'atteinte à la personnalité, dont relève une atteinte aux règles de la LPD, un intérêt public est réalisé lorsque l'atteinte est destinée à procurer un avantage à la collectivité ou au moins à une pluralité de personnes. Outre l'intérêt de la collectivité à l'information ou la liberté d'expression dans le cadre des atteintes par voie de presse, la doctrine cite l'exemple de l'intérêt public à la recherche médicale ou à la lutte contre la propagation de certaines maladies, lesquelles peuvent se trouver en contradiction avec le droit à l'intégrité corporelle ou au respect de la vie privée (pour l'art. 28 al. 2 CC : Deschenaux/Steinauer, Personnes physiques et tutelle, 2001, n. 591; Jeandin, Commentaire romand, 2010, n. 80 ad art. 28 CC).
On entend également par intérêt public l'intérêt de la Suisse, qui comprend l'image du pays à l'étranger, notamment du fait de sa coopération avec d'autres Etats (Meier, op. cit., n. 1368).
Le Tribunal fédéral a retenu, dans un arrêt du 15 juillet 2011, que la transmission aux autorités américaines de données couvertes par le secret bancaire était justifiée par l'intérêt public de la Suisse dans un cas où l'absence de transmission aurait entraîné un risque concret de faillite de l'UBS. L'UBS est en effet considérée comme une banque d'importance "systémique" pour l'économie suisse, en ce sens que sa défaillance aurait entraîné une paralysie considérable du système de paiement en Suisse et touché quelque 128'000 relations bancaires avec des PME et plus de trois millions de comptes. La défaillance d'une banque de cette taille aurait un coût économique de l'ordre de 15% à 30% du PIB à court terme; à long terme, la perte en termes de croissance pouvait être estimée entre 60 et 300% du PIB, soit entre 300 et 1500 millards de francs (ATF 137 II 431, consid. 4.1 et 4.2).
En exigeant que l'intérêt public soit prépondérant, l'art. 6 al. 2 let. d LPD implique une pesée entre les intérêts privés des personnes concernées et l'intérêt public retenu. La disposition présuppose que la communication soit nécessaire dans le cas d'espèce et ne permet pas une communication généralisée (Meier, op. cit., n. 1372).
La dérogation prévue à l'article 6 al. 2 let. d LPD doit être interprétée restrictivement, de sorte à ne pas encourager des communications transfrontières dans des conditions qui ne répondent pas à celles prévues par les traités d'entraide (Meier, op. cit., n. 1375).
2.2.2 La communication peut encore être admise pour l'exercice d'un droit en justice à l'étranger, quelle qu'en soit la nature (civile, pénale, administrative, disciplinaire, arbitrale). Tel peut être le cas de la remise d'informations nécessaires pour éviter à une personne des sanctions d'une autorité (Meier, op. cit., n. 1376).
Le pouvoir d'appréciation est relativement large car la question se juge à l'aune du droit procédural et matériel étranger, et non suisse. L'examen tiendra compte des exigences du droit étranger et des risques qu'un refus peut entraîner pour l'exportateur potentiel au regard de l'ensemble des circonstances du cas. Le refus de communication peut en effet entraîner des poursuites pour obstruction à la justice et ternir l'image de l'entreprise à l'étranger. On prendra cependant aussi garde à ce que ces procédures n'aient pas pour effet de réduire à néant les garanties fournies par les conventions d'entraide judiciaire ou administrative. Il appartient en outre à l'exportateur de veiller à ce que les données ne soient pas utilisées à d'autres fins à l'étranger (Meier, op. cit., n. 1380 et 1382).
2.3 La communication des données dans le cadre de la relation de travail doit s'apprécier à la lumière de l'art. 328b CO et des dispositions de la LPD (Coret, La communication de données des travailleurs à des tiers in Wyler, Panorama II en droit du travail, 2012, p. 92; Subilia/Duc, Droit du travail, éléments de droit suisse, 2010, ad art 328 b CO n. 10 et 30; Dunand, Commentaire du contrat de travail, n. 25-33 ad art. 328b CO, p. 325; Meier, op. cit., n. 2036, 2039 et 240; ATF 138 I 331 consid., 8.4.4 et 8.4.3, RDAF 2013 I 370).
Dans la mesure où, comme cela résulte des principes susmentionnés, les Etats-Unis ne disposent pas d'une législation assurant un niveau de protection adéquat des données au sens de l'art. 6 LPD, la communication dans ce pays de quelque donnée que ce soit est en principe illicite, sauf si l'un des motifs justificatifs prévus par l'art. 6 al. 2 LPD est réalisé.
3.2 Il convient de relever en premier lieu que les indications figurant au chapitre V let. B du Programme, selon lesquelles les informations transmises par les banques seront utilisées uniquement en vue de faire appliquer le droit américain, ce qui peut inclure des actions fondées sur des mesures de réglementation, ne constituent pas des garanties suffisantes de nature contractuelle assurant un niveau de protection adéquat au sens de l'art. 6 al. 2 let. a LPD.
En effet, cette formulation n'implique aucun engagement particulier de la part des autorités américaines, si ce n'est celui de respecter leur droit, lequel comme relevé ci-dessus, ne garantit pas les standards minimaux en matière de protection des données.
Il en va de même de la précision donnée par le DoJ dans le communiqué de presse accompagnant ce Programme, selon laquelle la transmission du nom d'une personne n'impliquait, en soi, aucune appréciation dans un sens ou un autre sur la question de savoir si cette personne était coupable de mauvaise conduite.
3.3 L'appelante invoque au titre de motif justificatif, l'existence d'un intérêt public prépondérant au sens de l'art. 6 al. 2 let. d LPD, à savoir l'importance de la coopération avec les autorités américaines pour la protection de la place financière suisse et celle de ses employés. Elle souligne que cet intérêt a été relevé par différentes autorités fédérales et associations professionnelle.
Il est incontestable qu'il existe, d'une manière générale, un intérêt public à ce que les entreprises suisses collaborent avec les autorités étrangères afin d'éviter des mesure de rétorsion de nature à mettre en péril le secteur d'activité de ces dites entreprises. Cela étant, une telle collaboration doit se faire dans le respect des règles du droit suisse. L'on ne saurait ainsi considérer in abstracto, comme le souhaiterait l'appelante, que toute transmission de données aux Etats-Unis est en soi justifiée par les intérêts de l'économie suisse en général et ceux du secteur bancaire en particulier. D'autres intérêts doivent en effet être préservés, en particulier ceux des employés de banque, qui constituent également une collectivité, et dont les droits de la personnalité doivent être protégés.
Une pesée des intérêts doit ainsi être faite dans chaque cas particulier pour décider si l'intérêt public invoqué par la banque qui souhaite transmettre des données doit prendre le pas sur les intérêts privés des personnes concernées.
Ce faisant, il convient de garder à l'esprit le fait que, s'agissant d'une transmission de données intervenant dans le cadre d'une relation de travail, cet intérêt privé nécessite une protection particulière au regard du devoir de l'employeur, prévu par les articles 328 al. 1 et 328b CO, de protéger la personnalité de son employé.
En l'espèce, l'appelante fait valoir que si elle ne transmet pas les informations litigieuses, à savoir les nom, prénom et fonction de l'intimé en relation avec vingt-six comptes bancaires, elle court le risque de ne pas obtenir d'accord de non- poursuite, ce qui serait susceptible de provoquer son inculpation pénale aux Etats-Unis, laquelle entraînerait sa faillite.
Le souci d'éviter la faillite de l'appelante constitue sans doute pour celle-ci un intérêt privé significatif, mais, en termes d'intérêt public, sa situation ne saurait être comparée à celle de l'UBS, banque d'importance "systémique", dont la faillite aurait un impact important sur l'économie suisse, puisqu'elle aurait eu un coût économique, selon le Tribunal fédéral, se situant entre 15 et 30% du PIB suisse à court terme ainsi qu'une perte en termes de croissance estimée entre 60 et 300% du PIB à long terme.
En effet, même si l'appelante emploie, selon les indications qu'elle a fourni, environ mille deux cent personnes, elle n'allègue pas être une banque d'importance "systémique" pour la Suisse et n'établit pas que sa défaillance éventuelle aurait un effet important sur l'économie suisse en général. Elle n'indique d'ailleurs pas précisément pour quels motifs exactement l'intérêt dont elle se prévaut constituerait un intérêt public, qui plus est prépondérant au sens de l'art. 6 al. 2 let. d LPD.
Quoi qu'il en soit, cette question peut rester ouverte en l'état, dans la mesure où, comme cela ressort du considérant 3.4 ci-dessous, l'appelante n'a pas établi qu'il existait un risque concret que la non-transmission des données litigieuses en l'espèce puisse entraîner son inculpation, suivie de sa faillite.
Par ailleurs, l'on ne saurait considérer que l'absence de transmission du nom de l'intimé en relation avec vingt-six comptes bancaires, d'ores et déjà clôturés, serait susceptible de porter atteinte à l'image de la Suisse à l'étranger. L'image de l'appelante, même si elle a son siège en Suisse, ne se confond en tout état de cause pas avec celle de la Suisse.
La transmission des données litigieuse ne saurait par conséquent être justifiée par l'existence d'un intérêt public prépondérant.
3.4 L'appelante soutient en outre que la communication des données de l'intimé est licite car elle est indispensable à l'exercice ou à la défense de ses droits en justice (2ème hypothèse visée par l'art. 6 al. 2 let. d LPC).
Au vu de la doctrine précitée, qui relève que cette hypothèse peut viser la remise d'informations nécessaires pour éviter à une personne des sanctions d'une autorité, l'on peut retenir que cette hypothèse pourrait s'appliquer au cas d'espèce, en dépit du fait que l'appelante ne fait pas l'objet d'une procédure pour le moment.
L'appelante n'a cependant pas démontré que la transmission des données litigieuses était nécessaire pour la défense de ses droits.
Elle se limite en effet à relever qu'en fonction du degré et de la qualité de sa coopération, le DoJ peut refuser de conclure avec elle un accord de non-poursuite, ce qui pourrait entraîner l'ouverture d'une poursuite pénale à son encontre. Elle n'expose toutefois pas précisément pour quel motif la non communication des données spécifiques de l'intimé provoquerait ces conséquences.
A cet égard, il ressort effectivement des dispositions du Programme que l'autorité américaine a la possibilité de refuser de conclure un accord ou d'intenter une action judiciaire si une banque transmet des informations fausses, incomplètes ou sources d'erreur.
Cependant, rien n'établit que la transmission des informations relatives aux vingt-six comptes concernés, assortie du caviardage du nom de l'intimé, serait considérée comme une information fausse, incomplète ou source d'erreur. A cet égard, une information adéquate donnée par l'appelante aux autorités américaines sur les motifs pour lesquels le nom de l'appelant ne lui est pas communiqué devrait permettre de limiter les risques. En outre, il n'est pas allégué que ces autorités auraient spécifiquement requis la communication du nom de l'intimé dans ce cadre.
L'appelante a d'ailleurs démontré sa volonté de collaboration puisqu'elle a, selon les indications qu'elle a fournies, transmis des données concernant presque 5% de ses mille deux cent employés et que seules une dizaine de personnes s'y sont opposées.
A cela s'ajoute le fait que, en application de l'art. 5 al. 1 LPD, il incombait à l'appelante de s'assurer que l'intimé était effectivement intervenu, à un titre ou un autre, dans la tenue ou la gestion des comptes concernés.
Or l'intimé a expliqué de manière crédible que tel n'était pas le cas, puisque ces comptes étaient gérés par des gestionnaires tiers, et que son nom figurait dans les registres informatiques de la banque uniquement par défaut, en raison du fait que les titulaires des comptes avaient un lien avec la zone géographique qu'il couvrait, laquelle ne comprenait pas les Etats-Unis. Ses allégations étant contestées, il incombait à l'appelante d'apporter des éléments probants établissant ses dires, ce qu'elle a refusé de faire, en dépit de la requête de l'intimé.
Il n'est ainsi pas établi que l'intimé soit effectivement intervenu en relation avec les comptes bancaires concernés.
De plus, comme cela a déjà été relevé, qu'aucune garantie n'a été donnée par le DoJ sur le but dans lequel ces données seraient utilisées à l'étranger. Le seul objectif clairement énoncé est de poursuivre les personnes impliquées dans des infractions au droit fiscal américain. Dans la mesure où il n'est pas contesté que le travail de l'intimé a donné pleine satisfaction à l'appelante, il est douteux que la poursuite d'infractions commises par l'employé dans le cadre de l'exécution régulière de son contrat de travail constitue un but compatible avec la protection de la personnalité du travailleur.
Par ailleurs, même si la deuxième hypothèse visée par la let. d de l'art. 6 LPC ne prévoit pas expressément que l'intérêt de l'exportateur de données doit être prépondérant, l'application de cette disposition implique un examen de l'intérêt de l'employé, conformément au principe de proportionnalité ancré à l'art. 4 LPD et aux exigences des articles 328 et 328b CO.
L'intimé dispose d'un intérêt non négligeable à ce que son nom ne soit pas communiqué dans ce contexte aux autorités américaines. Le risque qu'il soit interpellé par celle-ci lors d'un séjour aux Etats-Unis pour être interrogé, voire poursuivi, existe bel et bien. Le DoJ se prévalait d'ailleurs à cet égard en août 2013 d'avoir poursuivi plus de 30 banquiers.
Même si, par la suite, il est apparu que les employés dont le nom figurait sur les documents transmis n'étaient pas systématiquement poursuivis, le risque demeure. In casu ce risque est d'autant plus élevé au regard du fait que l'intimé se rend régulièrement aux Etats-Unis, pays dans lequel il possède des biens mobiliers et immobiliers.
Le fait que l'intimé ait respecté les directives de la banque en matière de blanchiment d'argent et d'évasion fiscale n'est, contrairement à ce que soutient l'appelante, pas de nature à supprimer tout risque de poursuite à son encontre. L'appelante fait d'ailleurs valoir dans la présente procédure qu'elle craint elle-même des poursuites pénales, alors même qu'elle n'allègue pas que les directives en question n'auraient pas été respectées par ses organes et qu'elle relève de plus qu'elle n'a jamais démarché de la clientèle américaine.
Il n'est par ailleurs pas établi que le nom de l'intimé a déjà été communiqué aux autorités américaines dans un autre cadre, comme l'allègue l'appelante. Au demeurant, même si tel était le cas, cela ne constituerait pas un motif justificatif au sens de l'art. 6 al. 2 LPD.
Enfin, et comme l'a relevé à juste titre le Tribunal, le fait que l'appelante ait obtenu une autorisation du Conseil fédéral lui permettant de coopérer avec les autorités américaines sans risquer de sanctions pénales en application de l'art. 271 al. 1 CP ne la dispense pas du respect des dispositions sur la protection des données.
Il résulte de ce qui précède que la transmission des données de l'intimé est illicite au sens des articles 328b CO et 6 al. 1 LPD et que l'appelante n'a pas établi l'existence d'un motif justifiant cette transmission au sens de l'art. 6 al. 2 LPD.
Le jugement querellé doit par conséquent être confirmé.
Il n'est pas alloué de dépens (art. 22 al. 2 LaCC).
PAR CES MOTIFS, La Chambre des prud'hommes, groupe 4 :
A la forme :
Déclare recevable l'appel formé par A_____ contre le jugement JTPH/194/2015 rendu le 13 mai 2015 par le Tribunal des Prud'hommes dans la cause C/18692/2014-4.
Au fond :
Confirme ce jugement.
Déboute les parties de toutes autres conclusions.
Sur les frais :
Condamne A_____ à verser à l'État de Genève, soit pour lui les Services financiers du Pouvoir judiciaire, 3'500 fr. au titre des frais judiciaires.
Dit qu'il n'est pas alloué de dépens.
Siégeant :
Madame Fabienne GEISINGER-MARIÉTHOZ, présidente; Madame Nadia FAVRE, juge employeur, Madame Christine PFUND, juge salariée; Madame Véronique BULUNDWE-LÉVY, greffière.
La présidente :
Fabienne GEISINGER-MARIÉTHOZ
La greffière :
Véronique BULUNDWE-LÉVY
Indication des voies de recours :
Conformément aux art. 72 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF; RS 173.110), le présent arrêt peut être porté dans les trente jours qui suivent sa notification avec expédition complète (art. 100 al. 1 LTF) par-devant le Tribunal fédéral par la voie du recours en matière civile.
Le recours doit être adressé au Tribunal fédéral, 1000 Lausanne 14.