POUVOIR JUDICIAIRE
C/11739/2016-4 CAPH/24/2018
ARRÊT
DE LA COUR DE JUSTICE
Chambre des prud'hommes
DU 27 février 2018
Entre
A______ SA, sise ______, appelante d'un jugement rendu par le Tribunal des prud'hommes le 13 juillet 2017 (JTPH/305/2017), comparant par Me Jacques IFFLAND, avocat, Lenz & Staehelin, Route de Chêne 30, Case postale 615, 1211 Genève 6, en l'Étude duquel elle fait élection de domicile,
d'une part,
et
Monsieur B______, domicilié ______, intimé, comparant par Me Bernard CRON, avocat, Lexpro, Rue Rodolphe-Toepffer 8, 1206 Genève, en l'Étude duquel il fait élection de domicile,
d'autre part.
EN FAIT
A. Par jugement JTPH/305/2017 du 13 juillet 2017, reçu le lendemain par les parties, le Tribunal des prud'hommes a, à la forme, déclaré recevable l'action en prévention d'une atteinte à la personnalité formée le 20 janvier 2017 par B______ à l'encontre de A______ SA (ch. 1 du dispositif), renoncé à ordonner à celle-ci de fournir une copie sous forme électronique de sa pièce 53 ainsi que quatre jugements rendus par "les Justices de paix de Genève et de Lausanne" l'opposant à quatre de ses employés et lui faisant interdiction de communiquer les noms et les données personnelles de ces derniers aux autorités américaines (ch. 3). Au fond, le Tribunal a fait interdiction à A______ SA, pour une période indéfinie, de transmettre, de transférer, de divulguer et/ou de communiquer aux autorités américaines, respectivement au Département de la justice des Etats-Unis d'Amérique, que ce soit par oral et/ou par tout autre support de données physiques, toutes données et/ou informations et/ou pièces concernant B______ de manière directe ou indirecte pour son activité auprès d'elle (ch. 4), prononcé cette interdiction sous la menace de la peine prévue par l'art. 292 CP qui dispose : "Celui qui ne se sera pas conformé à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou par un fonctionnaire compétents, sera puni de l'amende" (ch. 5), dit qu'il ne serait pas perçu de frais ni alloué de dépens (ch. 6) et débouté les parties de toutes autres conclusions (ch. 7).
Le Tribunal a considéré que la transmission des données personnelles de B______ aux Etats-Unis était illicite au sens des art. 328b CO et 6 al. 1 LPD et que la banque A______ SA n'avait pas établi l'existence de motifs justifiant cette transmission au sens de l'art. 6 al. 2 LPD. La communication transfrontalière des données litigieuses ne pouvait être autorisée qu'à condition de se fonder sur l'un des motifs justificatifs prévus à l'art. 6 al. 2 LPD, les Etats-Unis ne disposant pas d'une législation assurant un niveau de protection adéquat. A______ SA n'avait pas établi qu'elle se trouvait dans une situation de fait similaire à celle dans laquelle s'était trouvée C______ SA, laquelle concernait des clients et non des employés, ni même qu'elle était pour la Suisse une banque d'importance systémique dont la disparition, ensuite d'une dépôt d'une plainte pénale aux Etats-Unis, entraînerait un dérèglement du bon fonctionnement du système économique suisse. En tout état de cause, cette question pouvait demeurer indécise, dans la mesure où la banque n'avait pas établi qu'il existait un risque concret que la non-transmission des données litigieuses puisse entraîner son inculpation, suivie de sa faillite. Par ailleurs, l'on ne pouvait considérer que l'absence de transmission du nom de B______ en relation avec sept comptes d'ores et déjà clôturés, était susceptible de porter atteinte à l'image de la Suisse à l'étranger. Ainsi, la transmission de données litigieuses ne pouvait pas être justifiée par l'existence d'un intérêt public prépondérant. De plus, la banque n'avait pas démontré que la transmission des données litigieuses était nécessaire pour la défense de ses droits ou pour lui éviter les sanctions d'une autorité. Rien n'établissait que la transmission des informations relatives aux sept comptes concernés, assortie du caviardage du nom de B______, serait considérée comme une information fausse, incomplète ou source d'erreur. Il n'était pas allégué que les autorités américaines avaient spécifiquement requis la communication du nom de B______. Celui-ci, qui avait la double nationalité suisse et américaine, disposait d'un intérêt non négligeable à ce que son nom ne soit pas divulgué dans ce contexte aux autorités américaines. Le risque qu'il soit interpellé par celles-ci lors d'un séjour aux Etats-Unis pour être interrogé, voire poursuivi, existait bel et bien.
B. a. Par acte déposé à la Cour de justice le 14 septembre 2017, A______ SA forme appel contre le jugement précité, dont elle requiert l'annulation. Il conclut au déboutement de B______ de toutes ses conclusions.
Elle produit trois pièces nouvelles, à savoir des lettres du 22 février et du 21 juin 2016 de la Direction américaine du Renseignement national (Office of the Director of National Intelligence) et de l'Office américain de l'Avocat général (Office of General Councel) (pièces 1 et 2), ainsi qu'une lettre du U.S. Department of Justice du 19 février 2016 (pièce 3).
b. Dans sa réponse du 19 octobre 2017, B______ conclut à la confirmation du jugement attaqué, avec suite de frais judiciaires et dépens. Préalablement, il requiert que les pièces nouvelles de A______ SA soient écartées de la procédure et qu'il soit ordonné à celle-ci de produire les quatre jugements (rendus par le Tribunal des prud'hommes de Genève, par le Tribunal des prud'hommes de l'arrondissement de la Broye et du Nord Vaudois à Yverdon et par le Tribunal des prud'hommes de l'arrondissement de Lausanne) l'opposant à quatre employés et lui faisant interdiction de communiquer les noms et les données personnelles de ces derniers aux autorités américaines.
c. A______ SA a répliqué le 14 novembre 2017, en persistant dans ses conclusions.
Elle a produit une pièce nouvelle, à savoir un arrêt du 30 juin 2017 de la Cour d'appel civile du Tribunal cantonal vaudois (pièce 4).
d. B______ a dupliqué le 6 décembre 2017, en persistant dans ses conclusions.
e. Les parties ont été informées le 7 décembre 2017 de ce que la cause était gardée à juger.
C. Les faits pertinents suivant résultent de la procédure.
a. A______ SA, sise à ______ (VD), a pour but l'exploitation d'une banque axée principalement sur la gestion de fortunes et l'exercice d'une activité de négociant en valeurs mobilières. Elle dispose de succursales à ______, ______, ______ et ______.
B______, qui a la double nationalité suisse et américaine, a été lié à A______ SA jusqu'au 31 décembre 2013 par un contrat de travail du 21 juillet 1994. Il a rempli diverses fonctions et a notamment été en charge de la gestion des comptes et du suivi d'une clientèle locale et internationale. Pendant une courte période, il a été membre du comité directeur de la banque.
b. En 2008, les autorités américaines se sont intéressées aux établissements bancaires suisses, suspectant certains d'entre eux d'avoir aidé des clients américains à éluder l'impôt américain.
En 2010, les autorités américaines (soit le Ministère de la justice des Etats-Unis, ci-après: DoJ) ont ouvert des enquêtes contre onze banques suisses qu'elles soupçonnaient d'avoir aidé des clients américains à se soustraire à leurs obligations fiscales ainsi que d'avoir contrevenu à la réglementation applicable lors des contacts intervenus avec ces clients. Elles ont requis l'entraide administrative de la Suisse en vue d'obtenir des renseignements sur les activités des banques visées aux Etats-Unis.
Les autorités américaines ont ensuite demandé aux banques visées de leur transmettre un certain nombre de documents complémentaires (en particulier sur les employés s'étant rendus aux Etats-Unis pour communiquer avec des clients américains) si elles voulaient éviter une inculpation.
Le 4 avril 2012, le Conseil fédéral a autorisé les banques concernées à transmettre directement aux autorités américaines des données non anonymisées, à l'exception de celles concernant les clients. Cette décision valait autorisation, au sens de l'art. 271 CP, à procéder sur le territoire suisse pour le compte d'un Etat étranger à des actes relevant des pouvoirs publics. Il appartenait toutefois toujours aux banques d'apprécier le risque que leur responsabilité civile soit engagée.
Le 11 avril 2012, la FINMA a recommandé aux banques concernées de coopérer avec les autorités américaines dans le cadre prévu par le Conseil fédéral, en précisant que la procédure d'entraide administrative était, de ce fait, suspendue.
c. Le 14 février 2013, les autorités suisses et américaines ont signé un accord visant à faciliter la mise en oeuvre par les établissements financiers suisses de la loi fiscale américaine (Foreign Account Tax Compliance Act [FATCA]). Le Conseil fédéral a ensuite soumis au Parlement fédéral un projet de loi fédérale sur les mesures visant à faciliter le règlement du différend fiscal entre les banques suisses et les Etats-Unis. Le 19 juin 2013, le Parlement suisse a refusé d'entrer en matière sur ce projet, considérant qu'il appartenait au Conseil fédéral de trouver des solutions dans le cadre du droit en vigueur.
Le 3 juillet 2013, le Conseil fédéral a mis sur pied une nouvelle procédure d'autorisation individuelle au sens de l'art. 271 CP (autorisation modèle).
La décision modèle précisait notamment que l'intérêt de la banque à coopérer avec les autorités américaines était important. La collecte et la transmission des renseignements visaient à éviter une plainte du DoJ à l'encontre de la banque. Pour celle-ci, le dépôt d'une plainte aurait des conséquences majeures sur ses relations économiques avec les Etats-Unis. La banque risquait de ne plus pouvoir effectuer des transactions en dollars américains. Les problèmes opérationnels et financiers qui résulteraient d'une telle situation pourraient nuire considérablement à la banque, voire menacer son existence.
La décision énonçait également que l'autorisation prévue à l'art. 271 ch. 1 CP excluait uniquement une punissabilité en vertu de cette disposition. Elle ne dispensait pas de respecter les autres dispositions du droit suisse, notamment la prise en compte du secret d'affaires et du secret bancaire existants, des dispositions sur la protection des données ou des obligations de l'employeur. L'autorisation ne permettait donc aux banques de coopérer avec les autorités américaines que dans le cadre de la législation suisse. Lors de la pesée des intérêts, il y avait lieu de tenir compte des droits de la personnalité des actuels et anciens membres du personnel de la banque, ainsi que des tiers potentiellement concernés, en prévoyant une obligation d'informer et un droit d'obtenir des renseignements. Des devoirs d'assistance étendus et une protection appropriée contre la discrimination devaient de plus être prévus pour les actuels et les anciens membres du personnel.
d. Le 29 août 2013, le Conseil fédéral et le DoJ ont trouvé un accord visant à mettre un terme au différend fiscal entre les banques suisses et les Etats-Unis. Trois documents servent à concrétiser cet accord: la déclaration commune (Joint Statement) du Conseil fédéral (Département fédéral des finances) et du DoJ, le programme volontaire américain (Program for Swiss banks), ainsi que l'autorisation modèle du Conseil fédéral du 3 juillet 2013.
En vertu du Joint Statement, le DoJ entend fournir aux banques suisses non impliquées dans une procédure pénale (autorisée par le DoJ) un moyen adapté pour clarifier leur situation (status) en lien avec l'ensemble des enquêtes menées par le DoJ. Le Conseil fédéral (dans le texte: "Switzerland"), de son côté, manifeste son intention d'attirer l'attention des banques suisses sur les dispositions du programme américain et de les encourager à envisager une participation. Il relève que le droit suisse en vigueur permettra aux banques suisses une participation effective selon les termes fixés dans le programme.
Le programme volontaire (Program for Swiss banks) classe les banques suisses en quatre catégories: la première catégorie, exclue du programme, s'adresse aux banques faisant l'objet d'une enquête pénale du DoJ; la deuxième catégorie, destinée aux banques qui estiment avoir violé le droit fiscal américain, permet à celles-ci de se mettre à l'abri d'une poursuite pénale en échange de leur participation, en concluant un Non-Prosecution Agreement (NPA); les catégories 3 et 4 visent les banques qui estiment ne pas avoir violé le droit fiscal américain.
Selon le programme volontaire américain, les banques appartenant à la catégorie 2 doivent communiquer au DoJ le nom et la fonction des personnes ayant "structuré, géré ou supervisé les actions transfrontalières de la banque en lien avec les Etats-Unis " et le nom et la fonction de " toute personne, dont le gestionnaire de la relation client, le conseiller à la clientèle et gestionnaire d'actifs, ayant été en relation avec un Closed US Related Account ".
Le 30 août 2013, la FINMA a rappelé aux banques qu'il appartenait à chacune d'elles d'évaluer de manière appropriée les potentiels risques juridiques et de réputation qu'entraînerait une non-participation au programme américain et d'en tenir compte dans leur processus de décision qui devra être documenté.
e. A______ SA a décidé de participer au programme et elle s'est annoncée comme banque de catégorie 2 auprès du DoJ.
Par décision du ______ (valant autorisation selon l'art. 271 CP), le Département fédéral des finances a autorisé A______ SA à coopérer avec les autorités américaines. Cette autorisation a été prolongée jusqu'au 31 décembre 2015.
f. En ______ 2015, A______ SA a conclu un accord de non-poursuite (Non-Prosecution Agreement, NPA) avec le DoJ.
Dans cet accord, qui reprend les obligations du programme américain, A______ SA s'engage à continuer à collaborer et à fournir des données aux autorités américaines pendant une période de quatre ans, à compter de la date de l'exécution complète de l'accord ( "...from the date this Agreement is fully executed "). Le DoJ se réserve le droit d'engager des poursuites pénales contre la banque en cas de violation des termes de l'accord. Si une telle violation est constatée, le DoJ s'engage toutefois à le communiquer à A______ SA, par une notification écrite, avant d'entamer une quelconque procédure. La banque peut alors, dans le délai de trente jours, expliquer par écrit la nature et les circonstances de la violation, ainsi que les actions prises pour y remédier. Ces explications doivent être prises en considération par le DoJ pour déterminer l'opportunité d'engager une procédure contre A______ SA.
g. Par décision du 7 décembre 2015, le Département fédéral des finances a prolongé l'autorisation accordée à A______ SA le 8 janvier 2014 jusqu'au 31 décembre 2019, vu le Non-Prosecution Agreement conclu.
h. Par courrier recommandé du 19 avril 2016, A______ SA a indiqué à B______ faire suite à un précédent courrier par lequel elle l'avait informé qu'elle avait décidé de participer au Program for Non-Prosecution Agreement or Non-Target Letters for Swiss Banks (ci-après Program) en tant que banque de catégorie 2. Elle a expliqué que, suite au Non-Prosecution Agreement qu'elle avait conclu en octobre 2015, le DoJ lui avait demandé d'étendre la période applicable au 31 décembre 2015 et, partant, de mettre à jour sa base de données. La banque a encore indiqué à B______ que, dans ce contexte, son nom avait été identifié en relation avec sept comptes supplémentaires du fait qu'il avait été en charge du suivi d'un ou de plusieurs comptes concernés durant tout ou partie de la période du 1er août 2018 [recte : 2008] au 31 décembre 2015. La banque a listé les numéros desdits comptes. Elle a, enfin, informé son ancien employé de son droit de consulter les documents ainsi que de son droit d'opposition, dans un délai de vingt jours à compter de la réception du courrier. Sans nouvelles de sa part dans ce délai, elle procéderait à l'envoi des documents aux autorités américaines.
Le 5 mai 2016, B______ a fait opposition à tout transfert, échange, transmission de données ou informations le concernant, de manière directe ou indirecte, aux autorités américaines.
Par courrier du 1er juin 2016, A______ SA a pris note de l'opposition de B______ et a confirmé son intention de transmettre les données pertinentes le concernant au DoJ dans le cadre du Program, dans la mesure où ce transfert était à son avis justifié par des intérêts privés et publics prépondérants. Elle a précisé que la notion de lien avec les Etats-Unis était très large dans ce contexte. La banque a encore indiqué à B______ que, dans l'éventualité où il souhaitait maintenir son opposition à la transmission des données pertinentes le concernant, il disposait d'un délai de dix jours pour engager une procédure judiciaire à cet effet. Passé ce délai, elle pourrait procéder à la communication envisagée au DoJ .
i. Par acte déposé en conciliation le 9 juin 2016, ayant donné lieu à une autorisation de procéder le 7 octobre 2016 et porté devant le Tribunal le 20 janvier 2017, B______ a conclu, préalablement, à ce que le Tribunal ordonne à A______ SA de fournir une copie, sous forme électronique, de toutes les pièces ou données qu'elle entendait envoyer aux Etats-Unis le concernant et, principalement, à ce qu'il interdise à A______ SA, sous la menace de la peine prévue à l'article 292 CP, pour une durée indéfinie, toute transmission, transfert, divulgation et/ou communication, que ce soit par oral et/ou par tout autre support de données physiques, de toutes données et/ou informations et/ou pièces le concernant de manière directe ou indirecte pour son activité auprès de la banque, aux autorités américaines, respectivement au Département de la justice américain, sous suite de frais.
j. Le 11 janvier 2017, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a publié une communication relative à la mise en place d'un nouveau cadre pour la transmission de données personnelles de la Suisse vers les Etats-Unis.
Intitulé Privacy Shield, ce cadre a pour but de renforcer l'application des principes de protection des données par les entreprises participantes et par une amélioration de la gestion et de la surveillance par les autorités américaines. Le PFPDT précise que grâce au Privacy Shield, les données personnelles exportées de la Suisse vers les Etats-Unis bénéficient des mêmes normes que celles provenant de l'Union européenne, ce qui constitue un point fondamental pour la sécurité juridique des échanges économiques.
Le PFPDT est d'avis que la mise en place de ce nouveau cadre permet de garantir un niveau de protection adéquat. Il a ajusté en conséquence la liste des Etats qu'il est tenu de publier en vertu de l'art. 7 OLDP. Celle-ci énonce désormais à propos des Etats-Unis d'Amérique que les organismes qui adhèrent au Privacy Shield pour les données provenant de Suisse et qui figurent sur la liste du Département américain du commerce garantissent un niveau de protection adéquat au sens de l'art. 6 al. 1 LPD.
Le Département américain du commerce a publié sur son site internet une liste des organismes certifiés selon le Privacy Shield, laquelle comprenait 2705 entreprises au 6 février 2018. Le DoJ ne fait pas partie de ces organismes.
k. Dans sa réponse du 3 avril 2017 au Tribunal, A______ SA a conclu au rejet de la demande, avec suite de frais.
l. Lors de l'audience de débats d'instruction du 2 mai 2017, les parties ont persisté dans leurs conclusions.
B______ a requis la production, par la banque, de quatre jugements rendus "par les Justices de paix de Genève et de Lausanne" opposant cette dernière à quatre de ses employés et faisant interdiction à la banque de communiquer les noms et les données personnelles de ces derniers aux autorités américaines.
m. Lors de l'audience de débats principaux du 15 mai 2017, B______ a déclaré qu'il avait une clientèle anglo-saxonne, dont des américains, lorsqu'il travaillait pour la banque. Il n'était plus retourné aux Etats-Unis depuis 2008 déjà. Il a indiqué que, étant américain, il ne voulait pas être arrêté aux Etats-Unis même s'il n'avait pas fait de démarchage actif, car les américains étaient imprévisibles.
A______ SA a déclaré qu'elle n'avait jamais eu pour stratégie de démarcher de la clientèle américaine. Par ailleurs, depuis la conclusion du NPA, elle avait été confrontée à l'opposition de quatre autres ex-collaborateurs ou tiers qui n'avaient pas voulu que leurs données personnelles soient transmises à l'étranger. Un cas avait été tranché par le Tribunal des prud'hommes de Genève, un par le Tribunal de l'arrondissement d'Yverdon et deux par le Tribunal civil de Lausanne.
n. A l'issue de l'audience du 18 mai 2017, les parties ont plaidé en persistant dans leurs conclusions et le Tribunal a gardé la cause à juger.
EN DROIT
Les affaires portant sur la protection de la personnalité sont de nature non patrimoniale, sauf si la demande porte exclusivement sur des dommages-intérêts (ATF 142 III 145 consid. 6; ATF 127 III 481 consid. 1; arrêt du Tribunal fédéral 5A_328/2008 du 26 novembre 2008 consid. 1; Jeandin, in CPC, Code de procédure civile, Bohnet et al. [éd.], 2011, n. 12 ad art. 308 CPC et les réf. citées). Tel n'est pas le cas en l'espèce, de sorte que la voie de l'appel est ouverte indépendamment d'une éventuelle valeur litigieuse.
1.2 Interjeté dans le délai utile et suivant la forme prescrite par la loi (art. 130, 131, 145 al. 1 let. b et 311 al. 1 CPC) par une partie qui y a intérêt (cf. art. 59 al. 2 let. a CPC), l'appel est recevable.
1.3 La compétence ratione materiae des juridictions prud'homales pour statuer sur la présente action n'est à juste titre pas remise en cause par les parties, dès lors que l'employé demandeur en protection de sa personnalité peut saisir soit la juridiction ordinaire, soit la juridiction prud'homale (ACJC/855/2016 du 24 juin 2016 consid. 2.1.6) et qu'en l'espèce, l'intimé s'oppose à la transmission de données le concernant aux autorités américaines, en invoquant notamment la LPD et l'art. 328b CO.
2.1 Aux termes de l'art. 317 al. 1 CPC, des faits et moyens de preuve nouveaux ne sont pris en considération au stade de l'appel que s'ils sont invoqués ou produits sans retard (let. a) et s'ils ne pouvaient l'être devant la première instance, bien que la partie qui s'en prévaut ait fait preuve de la diligence requise (let. b).
Il faut distinguer les "vrais nova" des "pseudo nova". Les "vrais nova" sont des faits et moyens de preuve qui ne sont survenus qu'après la fin des débats principaux, soit après la clôture des plaidoiries finales (cf. ATF 138 III 788 consid. 4.2; Tappy, Code de procédure civile commenté, Bohnet/Haldy/ Jeandin/Schweizer/Tappy [éd.], 2011, n. 11 ad art. 229 CPC). En appel, ils sont en principe toujours admissibles, pourvu qu'ils soient invoqués sans retard dès leur découverte. Les "pseudo nova" sont des faits et moyens de preuve qui étaient déjà survenus lorsque les débats principaux de première instance ont été clôturés. Leur admissibilité est largement limitée en appel, dès lors qu'ils sont irrecevables lorsqu'en faisant preuve de la diligence requise, ils auraient déjà pu être invoqués dans la procédure de première instance (arrêts du Tribunal fédéral 5A_621/2012 du 20 mars 2013 consid. 5.1 et 4A_643/2011 du 24 février 2012 consid. 3.2.2).
Les faits notoires sont ceux qui sont connus de chacun parce qu'ils résultent de l'expérience commune ou sont de notoriété générale et manifeste ou dont l'existence est certaine au point d'emporter la conviction du juge (ATF 135 III 88 consid. 4.1; 134 III 224 consid. 5.2).
La Cour a déjà eu l'occasion de préciser (ACJC/699/2014 du 20 mai 2014 consid. 3.1 et ACJC/444/2015 du 24 avril 2015 consid. 2.1) que sont toutefois admis, pour autant qu'ils soient produits dans le délai de recours, les précédents et avis de droit visant uniquement à renforcer et à développer le point de vue d'une partie (cf. arrêts du Tribunal fédéral 4A_170/2015 du 28 octobre 2015 consid. 1; 4A_86/2013 du 1er juillet 2013 consid. 1.2.3; 6B_638/2012 du 10 décembre 2012 consid. 2; 4A_332/2010 du 22 février 2011 consid. 3; cf. déjà, sous l'ancienne OJ, ATF 126 I 95 consid. 4b; 108 II 69 consid. 1).
2.2 En l'espèce, les courriers des 19, 22 février et 21 juin 2016 produits avec l'appel (pièces 1 à 3), censés démontrer que les autorités américaines devraient être considérées comme offrant une protection adéquate des données et que dès lors, l'art. 6 LPD serait inapplicable, sont tous antérieurs à la date à laquelle le Tribunal a gardé la cause à juger. L'appelante n'expose pas à quelle date elle a eu connaissance de ces courriers, ni les motifs pour lesquels elle n'aurait pas été en mesure de les produire en première instance, alors que la question de l'existence d'une législation assurant un niveau de protection adéquat avait été soulevée dans la demande. Ainsi, lesdites pièces sont irrecevables, comme les faits qu'elles visent.
Par ailleurs, en conformité des principes rappelés ci-dessus, l'arrêt de la Cour d'appel civile du Tribunal cantonal vaudois du 30 juin 2017 (pièce nouvelle 4 de l'appelante) est irrecevable, dans la mesure où il n'a pas été produit dans le délai d'appel.
Les conclusions de l'intimé qui vont au-delà de la simple confirmation du jugement attaqué sont irrecevables, dans la mesure où celui-ci n'a pas formé un appel joint. Il en va ainsi du chef des conclusions préalables figurant dans la réponse, par laquelle l'intimé sollicite la production de pièces.
L'appelante fait grief au Tribunal d'avoir considéré que la transmission de données relatives à l'intimé dans le cadre du US Program était illicite au regard de la LPD, en partant de la prémisse que les Etats-Unis ne disposaient pas d'une législation assurant un niveau de protection adéquat. Le Tribunal aurait ainsi appliqué à tort l'art. 6 LPD, en lieu et place de l'art. 13 LPD.
4.1.1 L'employeur protège et respecte, dans les rapports de travail, la personnalité du travailleur (art. 328 al. 1 CO).
Cette disposition instaure une protection plus étendue que celle qu'assurent les art. 27 et 28 CC. D'une part, cette disposition interdit à l'employeur de porter atteinte, par ses directives, aux droits de la personnalité du travailleur. D'autre part, elle impose à l'employeur la prise de mesures concrètes en vue de garantir la protection de la personnalité du travailleur, laquelle englobe notamment sa vie et sa santé, son intégrité corporelle et intellectuelle, sa dignité, son honneur personnel et professionnel, sa position et la considération dont il jouit dans l'entreprise (CAPH/204/2015 du 11 décembre 2015 consid. 2.1 et les réf. citées).
L'employeur ne peut traiter des données concernant le travailleur que dans la mesure où celles-ci portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l'exécution du contrat de travail. Sur ce point, les dispositions de la loi fédérale du 19 juin 1992 sur la protection des données (LPD, RS 235.1) sont en outre applicables (art. 328b CO).
La communication des données dans le cadre de la relation de travail doit s'apprécier à la lumière de l'art. 328b CO et des dispositions de la LPD (CAPH/204/2015 susmentionné consid. 2.3 et les réf. citées; ACJC/1529/2015 du 11 décembre 2015 consid. 5.1.2 et les réf. citées).
La portée de l'art. 328b CO est controversée en doctrine, certains auteurs étant d'avis que cette disposition ne fait que répéter des principes déjà prévus par la LPD, laquelle s'applique à l'employeur en sa qualité de personne privée (ACJC/1529/2015 consid. 5.1.2 précité et les réf. citées; Aubert, La communication aux autorités américaines, par les banques, de données personnelles sur leurs employés : aspects de droit du travail, in Revue suisse de droit des affaires et du marché financier, 2013, p. 40 ss, 46). Il est en tous les cas admis que le renvoi à la LPD prévu à l'art. 328b CO s'étend à l'ensemble des principes généraux de la LPD, y compris aux moyens de droit prévus à l'art. 15 LPD (CAPH/140/2016 du 9 août 2016 consid. 3.1.1; ACJC/1529/2015 consid. 5.1.2 précité et les réf. citées).
La protection conférée par l'art. 328b CO perdure au-delà de la fin des rapports de travail (ATF 131 V 298 consid. 6.1).
4.1.2 La communication transfrontière de données est régie par l'art. 6 LPD, qui prévoit qu'aucune donnée personnelle ne peut être communiquée à l'étranger si la personnalité des personnes concernées devait s'en trouver gravement menacée, notamment du fait de l'absence d'une législation assurant un niveau de protection adéquat (art. 6 al. 1 LPD).
La communication de données dans un Etat ne disposant pas d'une législation assurant un niveau de protection adéquat entraîne de par la loi une grave menace de la personnalité (Maurer-Lambrou/Steiner, in Basler Kommentar, Datenschutzgesetz Öffentlichkeitsgesetz, 3e éd, Bâle 2014, ad art. 6 LPD n. 11; Steinauer/Fountoulakis, Droit des personnes physiques et de la protection de l'adulte, Berne 2014, n. 706b).
Dans un arrêt du 6 octobre 2015, la Cour de justice de l'Union européenne a eu l'occasion de relever que la législation américaine consacre la primauté des "exigences relatives à la sécurité nationale, [à] l'intérêt public et [au] respect des lois des Etats-Unis" sur les principes de la sphère de sécurité, si bien que les règles de protection prévues peuvent être écartées, sans limitation. Le régime américain de la sphère de sécurité rend ainsi possible des ingérences, par les autorités publiques américaines, dans les droits fondamentaux des personnes, sans qu'il n'existe de règles à caractère étatique destinées à limiter ces éventuelles ingérences ni de protection juridique efficace contre celles-ci (arrêt de la CJUE dans l'affaire C-362/2014 du 6 octobre 2015 consid. 86 s.).
Selon la liste publiée par le Préposé fédéral à la protection des données et à la transparence mise à jour au 12 janvier 2017, seuls les organismes qui adhèrent au Privacy Shield pour les données provenant de Suisse et qui figurent sur la liste du Département américain du commerce garantissent un niveau de protection adéquat au sens de l'art. 6 al. 1 LPD (art. 7 OLPD).
4.2 En l'espèce, la transmission de données personnelles de la Suisse vers les Etats-Unis peut désormais s'inscrire dans le cadre d'un nouvel accord dénommé Privacy Shield, en lieu et place d'un précédent accord jugé insuffisant. Contrairement à ce que soutient l'appelante, la mise en place de ce nouveau cadre n'a cependant pas pour effet de conférer un niveau de protection suffisant, au sens de l'art. 6 al. 1 LPD, à toute communication de données vers les Etats-Unis. Comme l'accord qui l'a précédé, le Privacy Shield ne vise que les données échangées entre des sujets suisses et certaines entreprises américaines, dont la liste est tenue par le Département américain du commerce. Les autorités et administrations publiques américaines (en particulier le DoJ, qui n'est d'ailleurs pas une entreprise privée; cf. arrêt du Tribunal fédéral 4A_355/2017 du 29 novembre 2017 consid. 4.3) ne font pas partie des entreprises concernées et rien n'indique qu'elles pourraient figurer sur la liste en question. S'il est exact que le PFPDT considère que les données échangées avec les entreprises américaines participant au Privacy Shield bénéficient d'un niveau de protection adéquat, équivalent à celui appliqué aux données provenant de l'Union européenne, tel n'est pas le cas des données transmises à des autorités américaines, notamment dans le cadre du US Program. Il découle des principes rappelés ci-dessus que la législation américaine permet aux autorités en question d'écarter toute protection des données privées lorsqu'elles estiment que l'intérêt public des Etats-Unis est en jeu, comme c'est le cas en l'espèce. Le Tribunal a dès lors correctement retenu que les Etats-Unis n'offraient pas un niveau de protection suffisant à la transmission des données litigieuses aux autorités américaines et la mise en place du Privacy Shield ne change rien à ce qui précède. Le grief sera en conséquence écarté. Il n'y a ainsi pas lieu d'examiner le litige sous l'angle de l'art. 13 LPD.
5.1 L'art. 6 al. 2 LPD contient une liste exhaustive de motifs (alternatifs) permettant la communication à l'étranger des données, en dépit de l'absence de législation assurant un niveau de protection adéquat (arrêt du Tribunal fédéral 4A_83/2016 du 22 septembre 2016 consid. 3.4.3 et les références).
Selon l'art. 6 al. 2 let. d première partie LPD (seul motif entrant en l'occurrence en ligne de compte), des données personnelles peuvent être communiquées à l'étranger uniquement si la communication est, en l'espèce, indispensable notamment à la sauvegarde d'un intérêt public prépondérant.
Cette disposition pose trois conditions: (1) un intérêt public, (2) un intérêt public qui soit prépondérant et (3) une communication qui soit indispensable à la sauvegarde de celui-ci.
Il existe un intérêt public si la préservation de la stabilité juridique et économique de la place financière suisse est en jeu. L'intérêt de la banque à sa survie ne suffit en soi pas, dès lors qu'il s'agit d'un intérêt privé, et non d'un intérêt public (arrêt du Tribunal fédéral 4A_83/2016 déjà cité consid. 3.4.3).
L'intérêt public doit être prépondérant par rapport à l'intérêt privé du tiers à ce que ses données personnelles ne soient pas communiquées aux autorités américaines.
Le juge doit procéder à une pesée des intérêts (art. 4 CC) in concreto, en tenant compte de toutes les circonstances du cas particulier à la date du jugement (cf. arrêt du Tribunal fédéral 4A_83/2016 précité consid. 3.5.1; Hrubesch-Millauer/Bürki, Rechtsprechungs-panorama Personenrecht und Einleitungsartikel, PJA 2017 p. 392).
La communication des données doit être indispensable à la sauvegarde de l'intérêt public prépondérant. Elle est indispensable (unerlässlich) si elle est absolument nécessaire (unbedingt notwendig) en ce sens que, sans la livraison de ces données, le litige fiscal avec les Etats-Unis s'intensifierait à nouveau, que la place financière suisse dans son ensemble en serait affectée et que cela porterait préjudice à la réputation de la Suisse en tant que partenaire de négociation fiable (arrêts du Tribunal fédéral 4A_83/2016 consid. 3.3; 4A_73/2017 du 26 juillet 2017 consid. 3.1).
En signant le Joint Statement, le Conseil fédéral a garanti au DoJ que le droit suisse en vigueur permet la participation effective des banques au programme américain. Autrement dit, vu le Joint Statement conclu par le Conseil fédéral, il doit être admis que, matériellement, le droit suisse autorise la participation effective des banques suisses et donc la communication des données de tiers (employés, gestionnaires) conformément aux conditions posées par le programme américain.
Il ne s'agit toutefois pas d'admettre de manière abstraite que toutes les banques doivent communiquer les données concernant des tiers, même en l'absence de toute menace d'une atteinte à l'intérêt public de la Suisse. Il faut bien plutôt examiner si la modification de la situation de fait doit être prise en considération sous l'angle matériel et si elle conduit à admettre ou nier le caractère indispensable de la communication des données. La LPD vise en effet à protéger la personnalité et les droits fondamentaux des personnes qui font l'objet d'un traitement de données. Au centre de ses préoccupations figure donc la protection de la personnalité de l'intéressé (employé, gestionnaire). Ne pas tenir compte par principe des modifications de la situation et admettre systématiquement la communication des données aurait pour conséquence de laisser la personnalité sans protection, alors même que, dans le cas particulier, la communication n'est plus indispensable à la sauvegarde de l'intérêt public.
Il appartient à la banque de démontrer que, à la date du jugement, la non-communication des données litigieuses aurait pour conséquence nécessaire une nouvelle escalade du litige fiscal avec les USA et, de ce fait, constituerait une menace pour la place financière suisse et la réputation de la Suisse en tant que partenaire de négociation fiable (arrêt du Tribunal fédéral 4A_355/2017 du 29 novembre 2017, consid. 4.2 et les réf. citées)
5.2 En l'espèce, il n'est pas contesté ni contestable qu'il existe, de manière générale, un intérêt public à ce que les banques suisses assurent la stabilité juridique et économique de la place financière suisse en participant au programme volontaire de règlement fiscal mis en place par les autorités américaines et en assurant ainsi leur propre réputation et leur pérennité.
L'appelante ne démontre cependant pas que cet intérêt public imposerait en l'espèce la communication des données litigieuses, et ce de manière prépondérante par rapport à l'intérêt de l'intimé à s'opposer à une telle communication. Il est en effet établi que l'appelante est parvenue à signer un accord de non poursuite avec le DoJ au mois d'octobre 2015 sans transmettre les documents en question. Si les autorités américaines se sont certes réservées le droit de revenir sur cet accord au cas où les informations remises devaient s'avérer fausses ou incomplètes, rien ne permet d'établir qu'elles considèrent que ce soit en l'occurrence le cas. L'appelante n'allègue en particulier pas avoir fait l'objet de relances ou de pressions de la part des autorités américaines afin qu'elle transmette tout ou partie de la documentation comprenant des données relatives à l'intimé. Il est ainsi peu probable que la non-communication des données litigieuses puisse avoir pour conséquence une remise en cause de l'accord trouvé avec les autorités américaines. L'appelante ne cite au demeurant aucun cas où une banque aurait vu son accord annulé ou aurait fait l'objet d'une poursuite ultérieure en raison d'une communication jugée incomplète. En tout état, il n'est pas établi qu'une annulation du Non-Prosecution Agreement conclu au mois ______ 2015 aurait des répercussions sur l'ensemble de la place financière suisse, respectivement raviverait le conflit fiscal opposant les banques suisses aux autorités américaines. L'appelante ne soutient notamment pas qu'elle serait une banque d'importance systémique et ce, à juste titre vu la nature de ses activités et le nombre restreint de ses succursales.
Contrairement à ce que soutient l'appelante, l'intimé conserve pour sa part un intérêt important à ce que des données le concernant ne soient pas transmises aux autorités américaines. Il est en effet reconnu que les individus dont les données figurent sur les documents transmis aux autorités américaines courent le risque d'être retenus pour être interrogés, voire inculpés, au cas où ils se rendraient sur le sol américain, ces situations s'étant concrètement présentées pour certains d'entre eux. Même si ce risque est ténu dans le cas particulier, il ne peut être considéré comme purement théorique, compte tenu de la détermination affichée des autorités américaines de poursuivre toutes les personnes impliquées de près ou de loin dans l'évasion fiscale de contribuables du fisc américain.
Au vu de ce qui précède, et dans la mesure où une dérogation fondée sur l'intérêt public doit être admise avec retenue, la décision du Tribunal de refuser d'admettre, comme motif justificatif, la nécessité de sauvegarder un intérêt public prépondérant n'est pas critiquable. Le jugement attaqué sera donc confirmé.
Il n'est pas alloué de dépens (art. 22 al. 2 LACC), étant souligné que l'art. 115 CPC ne s'applique qu'aux frais judiciaires.
PAR CES MOTIFS, La Chambre des prud'hommes, groupe 4 :
A la forme :
Déclare recevable l'appel formé le 14 septembre 2017 par A______ SA contre le jugement JTPH/305/2017 rendu le 13 juillet 2017 par le Tribunal des prud'hommes dans la cause C/11739/2016-4.
Au fond :
Confirme ce jugement.
Déboute les parties de toutes autres conclusions.
Sur les frais :
Arrête les frais judiciaires d'appel à 3'000 fr. et les met à la charge de A______ SA.
Condamne A______ SA à verser 3'000 fr. à l'Etat de Genève, soit pour lui les Services financiers du Pouvoir judiciaire.
Dit qu'il n'est pas alloué de dépens.
Siégeant :
Monsieur Ivo BUETTI, président; Monsieur Olivier GROMETTO, juge employeur; Madame Ana ROUX, juge salariée; Madame Véronique BULUNDWE-LEVY, greffière.
Indication des voies de recours:
Le Tribunal fédéral connaît, comme juridiction ordinaire de recours, des recours en matière civile; la qualité et les autres conditions pour interjeter recours sont déterminées par les art. 72 à 77 et 90 ss de la loi sur le Tribunal fédéral du 17 juin 2005 (LTF; RS 173.110). Il connaît également des recours constitutionnels subsidiaires; la qualité et les autres conditions pour interjeter recours sont déterminées par les art. 113 à 119 et 90 ss LTF. Dans les deux cas, le recours motivé doit être formé dans les trente jours qui suivent la notification de l'expédition complète de l'arrêt attaqué. L'art. 119 al. 1 LTF prévoit que si une partie forme un recours ordinaire et un recours constitutionnel, elle doit déposer les deux recours dans un seul mémoire.
Le recours doit être adressé au Tribunal fédéral, 1000 Lausanne 14.