Data-access request rejected as abusive under LPDGenerato dall'IA

BVGer A-1251/2024

Entscheiddatum: 16.09.2026Publikationsdatum: 01.10.2026

Bundesverwaltungsgericht Tribunal administratif fédéral Tribunale amministrativo federale Tribunal administrativ federal Cour I A-1251/2024, A-1692/2024

Arrêt du 16 septembre 2026 Composition Claudia Pasqualetto Péquignot (présidente du collège), Alexander Misic, Jürg Marcel Tiefenthal, juges,Jérôme Gurtner, greffier. Parties 1. A._______, 2. B._______, 3. C._______, 4. D._______, tous représentés parMaîtres Saverio Lembo et Abdul Carrupt,Bär & Karrer S.A. Avocats,Quai de la Poste 12, 1211 Genève 3, recourants, contre Autorité fédérale de surveillance des marchés financiers FINMA, autorité inférieure. Objet Protection des données ; décisions des 24 janvier et 13 février 2024.

Faits :

A.

A.a A._______ est un avocat de nationalité australienne. Il est administrateur unique (sole director) et secrétaire (secretary) de B._______, de C._______ et de D._______. Ces sociétés sont des sociétés limitées par actions de droit de Nevis, une île des Petites Antilles, dans la région des Caraïbes.

A.b La banque E._______ (ci-après : la banque E._______) a entretenu des relations d'affaires avec F._______. Ce dernier était un ressortissant américain soupçonné par les autorités fiscales et pénales américaines d'avoir dissimulé à l'étranger de très importants avoirs (environ 2 milliards de dollars), notamment en Suisse, auprès de la banque E._______. Il aurait mis en place un schéma élaboré de cascade de sociétés de domicile et de trusts aux îles Vierges britanniques, avec l'assistance de A._______. Ce dernier avait ouvert et entretenu plusieurs relations d'affaire avec la banque depuis 2010.

A.c Le 28 octobre 2020, le Ministère public de la République et canton de Genève (ci-après : le Ministère public) a ouvert une procédure pénale contre feu F._______ et A._______ pour blanchiment de fraude fiscale (réf. : [...]).

B.

Le 16 février 2022, A._______ et les sociétés D._______, C._______ et B._______ (ci-après : les requérants), représentés par leur mandataire, ont informé l'Autorité fédérale de surveillance des marchés financiers (ci-après : la FINMA) qu'ils avaient récemment pris connaissance des demandes d'entraide que la FINMA avait adressées au Ministère public dans le cadre de la procédure pénale (...). Ils ajoutaient qu'il ressortait de ces demandes qu'une procédure de clarification, puis d'enforcement, était dirigée contre la banque E._______ en lien avec des faits les concernant. Ils précisaient également qu'un chargé d'enquête avait été nommé dans le cadre de cette procédure.

Les requérants soulignaient également que la décision finale de la FINMA aurait un impact sur leurs intérêts juridiques dans les procédures auxquelles ils participent, en Suisse comme à l'étranger.

Ils sollicitaient, en application de la loi fédérale sur la protection des données, la communication par écrit des informations suivantes :

•      Toutes les données [les] concernant [...] qui sont éventuellement traitées par la FINMA ou par des tiers mandatés par elle, en particulier dans le cadre des procédures susmentionnées ; 
  

•      l'origine des données susmentionnées ; 
  

•      confirmer l'exhaustivité des documents et informations qui seront transmis. 
  

Les requérants précisaient également que la procédure pénale mentionnée précédemment progressait et qu'une nouvelle audience d'instruction avait été fixée au 18 mars 2022. Ils soulignaient ainsi qu'en vue de cette audience et de l'importance que pouvaient y revêtir les informations demandées ci-dessus, ils demandaient à la FINMA de bien vouloir leur remettre les données les concernant au plus tard le 17 mars 2022.

C. Le 22 février 2022, la FINMA a accusé réception de la demande des requérants. Puis, le 11 mars 2022, elle les a informés qu'en raison du volume de documents révélés par la recherche à ce stade et de l'examen qui en découle, elle ne serait pas en mesure de donner suite à leur requête dans le délai sollicité. Elle sera toutefois en mesure d'y répondre d'ici la mi-mai 2022.

D. Le 11 mai 2022, la FINMA a répondu à la demande de renseignements de A._______. Elle a rappelé que les données factuelles ainsi que les données de tiers, c'est-à-dire celles qui ne se rapportent pas au requérant, ne peuvent être rendues accessibles telles quelles et doivent être anonymisées (caviardées) ou retranchées si l'anonymisation n'est pas possible ou suffisante. Elle a également souligné que le droit d'accès prévu par la loi sur la protection des données n'est pas identique au droit de consulter le dossier en vertu des garanties générales de procédure. Elle a précisé que la communication se limitait aux données personnelles de A._______, dont les recherches avaient révélé « un volume très important de documents ».

Elle a joint à son courrier les pièces nos 1 à 1290 caviardées par ses soins (transmission n° 1).

La FINMA a indiqué aux requérants qu'elle avait classé les documents selon les catégories suivantes : les documents accessibles au public (1), la documentation bancaire (2 ; pièces nos 1 à 1211), la documentation émanant de tiers (3 ; pièces nos 1212 à 1227, ainsi que 1228 à 1250), et la documentation interne à la FINMA ou issue de la FINMA (4 ; pièces nos 1251 à 1278, 1279 ss et 1286 ss).

E.

Le 8 juin 2022, les requérants ont pris position sur la lettre du 11 mai 2022 de la FINMA. Ils relèvent que des « accusations graves » ressortent de plusieurs documents transmis et précisent que A._______ les conteste fermement, mais qu'il ne peut se déterminer utilement sur celles-ci (et a fortiori, en solliciter la rectification) en raison du caviardage extensif des documents effectué par la FINMA.

Ils soulignent par ailleurs que les numéros de comptes, les relevés bancaires du compte personnel de A._______, plusieurs de ses en-têtes de lettres, ainsi que les noms des sociétés dont il est administrateur unique et qui font l'objet de la présente requête ont été caviardés.

Les requérants ajoutent que le caviardage opéré par la FINMA sur les documents transmis en annexe de son courrier ne permet pas de comprendre leur contexte et leur portée. Selon eux, il n'est pas rationnel que les courriels envoyés par A._______ ainsi que les documents signés de sa main soient caviardés. Il en va de même pour les relevés bancaires de son compte personnel auprès de la Banque E._______. Ils soulignent également que les caviardages sont parfois si intensifs qu'il ne reste que le nom de A._______ sur un document. Ils demandent à la FINMA, en substance, que les caviardages soient effectués de manière proportionnée, afin que les phrases restent compréhensibles.

Ils relèvent par ailleurs que la FINMA a différé l'accès en bloc et sans aucune précision aux documents, et en particulier aux courriers échangés dans le cadre de la procédure d'enforcement. Selon les requérants, il serait dans l'intérêt de la procédure en question que A._______, signataire et/ou titulaire des comptes concernés par la demande d'entraide de la FINMA du 8 décembre 2020 et témoin coopérant aux investigations des autorités américaines, puisse prendre connaissance des données le concernant, ainsi que celles concernant les sociétés dont il est directeur, et le cas échéant, solliciter leur rectification.

Les requérants concluent ainsi, entre autres, à ce qu'un nouveau caviardage soit entrepris sur la base des critères mentionnés dans sa lettre (ch. 3), à ce que l'accès aux documents de la procédure de clarification et de la procédure d'enforcement ne soit pas différé (ch. 4), et qu'en cas de refus d'accès à certains documents, une liste de ces documents et la justification de ce refus leur soient transmises afin qu'ils puissent se déterminer (ch. 5), et à ce que, en tout état de cause, la FINMA poursuive le traitement de leur demande sur les points qui ne sont pas litigieux (ch. 6).

F. Le 29 juin 2022, la FINMA a pris position sur le courrier du 8 juin 2022 des requérants.

Concernant les documents issus des clarifications et de la procédure d'enforcement que mènerait la FINMA, cette dernière relève que le secret de fonction au sens de l'art. 14 de la loi fédérale sur la surveillance des marchés financiers ne l'autorise pas à dévoiler les démarches entreprises, à moins que cela ne concerne les données personnelles des requérants.

Elle a joint à son courrier les pièces nos 1291 à 1367 caviardées par ses soins (transmission n° 2).

G. Le 24 août 2022, la FINMA a indiqué en substance aux requérants qu'elle serait en mesure de leur transmettre l'ensemble des documents trouvés à ce jour dans le courant de l'automne, étant précisé qu'elle devait examiner pour chaque document si des motifs de refus ou d'ajournement s'opposaient à la transmission et dans quelle mesure les intérêts de tiers la restreignaient.

Elle a joint à son courrier la pièce n° 1368 caviardée par ses soins (transmission n° 3).

H.

H.a Le 26 septembre 2022, les requérants se sont à nouveau plaints des caviardages, qu'ils considèrent excessifs. Ils citent l'exemple de l'annexe n° 1368, un courrier du Ministère public du canton de Genève du 23 juin 2022, qui, selon eux, a fait l'objet d'un caviardage extensif. Ils expliquent à ce sujet avoir eu accès à ce document non caviardé via la procédure pénale genevoise (...), à laquelle A._______ a accès.

Ils demandent ensuite à la FINMA d'utiliser le numéro de la procédure pénale genevoise (...) ainsi que le nom du mandataire soussigné afin d'identifier les données personnelles contenues dans les fichiers.

Ils rappellent également à la FINMA « qu'ils ont sollicité l'accès à toutes les données personnelles les concernant, dès lors qu'ils craignaient, sur la base des déclarations de la Banque E._______ au sénateur américain (...), que la Banque E._______ transmette des informations erronées et contestées à la FINMA » (n° 12). Ils ajoutent que leurs intérêts à solliciter la rectification de certaines données, sur la base de la loi sur la protection des données, doivent prévaloir. Cette démarche leur permettra d'éviter que des informations incorrectes ne soient versées à la procédure pénale.

H.b Le 4 octobre 2022, la FINMA a pris position sur la lettre des requérants du 26 septembre 2022.

Elle leur explique qu'ils trouveront dans les annexes nos 1369 ss et 1385 ss de nouveaux tirages des pages 12 ss et 1184, ainsi que les nouvelles pièces évoquées dans son courrier du 24 août 2022 (p. 1376 ss et 1440 ss), auxquelles s'ajouteront les pièces n° 1429 ss, également nouvelles.

Son courrier comporte les annexes n° 1369 à 1475 caviardées par ses soins (transmission n° 4).

I. Le 19 octobre 2022, la FINMA a transmis aux requérants de nouvelles pièces (annexes nos 1476 à 2182 ; transmission n° 5).

J. Le 4 novembre 2022, les requérants ont indiqué à la FINMA qu'ils considéraient que le caviardage appliqué aux annexes de son courrier du 4 octobre 2022 était excessif.

Ils lui ont également proposé une autre liste de mots clés.

Ils réitèrent par ailleurs que A._______ dispose d'un intérêt particulier et d'un droit d'accès aux informations de cette procédure d'enforcement, ainsi que du droit de rectifier celles qui seraient trompeuses. Ils rappellent que leur intérêt est renforcé par le risque concret que des informations erronées et/ou contestées soient présentées à la FINMA par la Banque E._______, qu'un rapport soit rédigé sur cette base, puis versé à la procédure pénale, voire transmis à des autorités étrangères. Ils estiment ainsi avoir le droit de consulter les informations et données les concernant.

K. Le 18 novembre 2022, les requérants se sont adressés au directeur de la FINMA. Ils estiment que l'intérêt de A._______ et des sociétés dont il est administrateur d'avoir accès aux documents de la procédure d'Enforcement (...) qui traitent de leurs données personnelles, afin de pouvoir les rectifier le cas échéant, est évident. Ils ajoutent à cet égard que A._______ dispose d'un intérêt particulier et d'un droit à avoir accès aux informations de cette procédure d'Enforcement et à pouvoir rectifier celles qui, de manière générale, seraient erronées ou trompeuses. Ils considèrent plus particulièrement que leur intérêt est renforcé par le risque concret que des informations erronées et/ou contestées soient présentées à la FINMA par la banque E._______.

Les requérants demandent ainsi la transmission immédiate des informations suivantes :

•      Toutes les données personnelles les concernant qui sont traitées par la Division Enforcement de la FINMA ou par des tiers mandatés par elle, en particulier dans le cadre de la procédure d'Enforcement (...) ; 
  

•      l'origine des données susmentionnées ; 
  

•      confirmer l'exhaustivité des documents et informations qui seront transmis. 
  

L. Le 22 novembre 2022, la FINMA a indiqué aux requérants, en substance, qu'à ce stade de la procédure, le risque de collusion s'opposait à la transmission des données personnelles des requérants contenues dans les pièces concernées par l'ajournement. Elle précise également que ces données pourront être transmises lorsque le motif d'ajournement au sens de la loi sur la protection des données aura disparu.

M. Le 13 décembre 2022, les requérants ont indiqué à la FINMA qu'il était primordial pour eux d'avoir accès au rapport intermédiaire du chargé d'enquête ainsi qu'aux déterminations de E._______ à son sujet, afin de pouvoir prendre position et, le cas échéant, rectifier d'éventuelles informations les concernant. Ils ajoutent que cet accès se justifie d'autant plus que la procédure d'enforcement se trouve au stade où un rapport final du chargé d'enquête n'a pas encore été rendu et qu'une décision finale de la FINMA n'a pas été publiée. Ils sollicitent ainsi la transmission immédiate du rapport intermédiaire rendu par le chargé d'enquête dans le cadre de la procédure d'enforcement dirigée contre la banque E._______, ainsi que des déterminations de la banque à son sujet.

N. Le 23 décembre 2022, la FINMA a répondu au courrier des requérants du 13 décembre 2022. Elle souligne notamment que les requérants ne sont parties à aucune procédure diligentée par la FINMA et ne peuvent donc se prévaloir d'aucun droit ou intérêt dans ce contexte. Elle ajoute qu'en l'absence de procédure formelle, aucune décision ne sera rendue à leur encontre. Au surplus, des tiers ne peuvent, par le biais d'une demande fondée sur la loi sur la protection des données, se voir conférer une forme de droit d'accès que la procédure leur dénie. La FINMA rappelle aux requérants qu'en sa qualité de prévenu dans la procédure pénale, A._______ jouit du droit d'être entendu et peut faire valoir ses droits, notamment d'accès au dossier, avant qu'une ordonnance ne soit rendue à son encontre. Elle souligne ainsi que les droits de l'intéressé à se défendre ne sont pas affectés par le report de la transmission. Selon la FINMA, il appartient toutefois à l'autorité pénale de constituer son dossier et d'y aménager l'accès. La FINMA indique qu'elle ne saurait anticiper un tel accès, même partiel, par le biais de la loi sur la protection des données, et ainsi s'immiscer dans la procédure pénale. Ainsi, concernant les documents issus de la procédure en cours, la FINMA estime qu'il existe un motif de report au sens de la loi sur la protection des données.

La FINMA souligne par ailleurs que les craintes des requérants concernant la publication d'une décision sont infondées. Non seulement la publication ne concerne que les parties, mais la FINMA prend également en considération les droits de la personnalité des personnes concernées.

En résumé, la FINMA indique aux requérants leur avoir donné un accès à leurs données personnelles conforme aux exigences de la loi sur la protection des données pour les documents transmis le 11 mai 2022, puis de manière élargie par courriers successifs des 29 juin, 24 août, 4 et 19 octobre 2022.

Enfin, la FINMA informe les requérants que les pièces bancaires des requérants annexées à son courrier (annexes nos 2183 à 2644 ; transmission n° 6) correspondent à celles qui leur ont été remises par courrier du 11 mai 2022 (annexes nos 1 à 1211) et dont le réexamen, annoncé dans ses courriers des 4 et 19 octobre 2022, a justifié des ouvertures supplémentaires. Elle indique également joindre un nouveau tirage des pages 1334 à 1336 en annexes nos 2642 ss.

O. Le 24 avril 2023, les requérants ont en substance invité la FINMA à reconsidérer sa position quant au report basé sur la loi sur la protection des données. Ils ont notamment demandé la transmission immédiate du rapport intermédiaire établi par le chargé d'enquête dans le cadre de la procédure d'enforcement dirigée contre la banque E._______, ainsi que les déterminations de la banque au sujet de A._______.

P. Le 1er mai 2023, la FINMA a en substance indiqué aux requérants qu'elle n'était pas maître de la procédure pénale et qu'elle ne pouvait pas leur transmettre les documents qu'ils mentionnaient, qu'elle n'avait d'ailleurs pas encore communiqués aux autorités pénales. Elle ajoute que ces documents leur seront transmis dès que le motif de report au sens de la loi sur la protection des données aura disparu. Pour le reste, elle estime avoir fait droit à leur requête.

Q. Le 18 juillet 2023, les requérants ont informé la FINMA qu'ils avaient appris que les documents de la procédure d'enforcement (...) allaient désormais être versés à la procédure (...). Ils ont ajouté qu'il s'agissait précisément du scénario qu'ils voulaient éviter en saisissant la FINMA le 16 février 2022. Ils ont toutefois indiqué renouveler leur demande d'accès au rapport du chargé d'enquête ainsi qu'à la décision de la FINMA contenant leurs données personnelles, à tout le moins dans des versions comportant un caviardage raisonnable.

R.

R.a Le 4 septembre 2023, la FINMA a indiqué aux requérants que la loi fédérale sur la protection des données révisée ne s'appliquait plus aux personnes morales et qu'elle n'aménageait pas de droit transitoire pour le traitement des requêtes en cours. Autrement dit, la poursuite du traitement interviendrait exclusivement sur la base du droit en vigueur et ne concernerait, selon son appréciation, que les données personnelles du recourant 1. La FINMA demandait en substance aux sociétés requérantes si elles maintenaient leur requête.

R.b Le 18 septembre 2023, les sociétés requérantes ont répondu à la FINMA qu'elles maintenaient leur requête. Elles se référaient à cet égard à l'art. 13 al. 2 de la Constitution fédérale du 18 avril 1999 de la Confédération suisse, qui dispose que toute personne a le droit d'être protégée contre l'emploi abusif des données qui la concernent, et précisaient que cette disposition est également applicable aux personnes morales. Elles rappelaient également que les principes généraux du droit administratif prévoient explicitement, en l'absence de dispositions transitoires topiques, que l'ancien droit demeure applicable aux demandes d'accès fondées sur l'ancienne loi. Les sociétés ajoutaient que l'Office fédéral de la justice, consulté par leurs soins à ce sujet, partage leur position, et joignaient un courriel du 15 septembre 2023 dudit Office. Dans ce courriel, un juriste de cet Office relève notamment ce qui suit :

« Wir möchten Sie darauf hinweisen, dass wir keine Rechtsberatung im Einzelfall anbieten und uns daher auf allgemeine Ausführungen zur Rechtslage beschränken. In der von Ihnen beschriebenen Konstellation müsste geprüft werden, inwiefern Art. 57t RVOG einschlägig sein könnte. Das BGÖ ist hingegen auf die FINMA nicht anwendbar (Art. 2 Abs. 2 BGÖ). Zudem teilen wir Ihre Ansicht, wonach auf Auskunftsgesuche, die vor dem 1. September 2023 eingereicht wurden, gemäss den allgemeinen Prinzipien des Verwaltungsverfahrens weiterhin das alte Recht Anwendung finden müsste. Auch sind wir der Auffassung, dass die informationelle Selbstbestimmung gemäss Art. 13 Abs. 2 BV grundsätzlich auch für juristische Personen gilt. »

Enfin, les sociétés requérantes indiquaient à la FINMA qu'elles souhaitaient qu'une décision susceptible de faire l'objet d'un recours leur soit notifiée en cas de confirmation de son refus de poursuivre le traitement de leur requête.

R.c Le 3 octobre 2023, la FINMA a indiqué aux requérants, en substance, qu'après avoir examiné leurs arguments, elle confirmait poursuivre le traitement de la requête de tous les requérants, y compris des personnes morales.

S. Le 15 décembre 2023, les requérants ont demandé à la FINMA un accès urgent à leurs données personnelles, notamment à la décision rendue dans le cadre de la procédure d'enforcement (...), ainsi qu'au rapport du chargé d'enquêtes sur lequel cette décision se fonde. Ils demandent également à la FINMA de statuer sur leur demande d'accès par une décision susceptible de recours.

T. Le 10 janvier 2023, la FINMA a informé les requérants qu'elle poursuivait le traitement de leur requête et qu'elle procédait actuellement à l'examen visant à exclure d'éventuels intérêts prépondérants de tiers. Elle a également indiqué qu'une décision sujette à recours serait rendue, dans la mesure où l'ensemble du solde des documents à transmettre aux requérants ne pourrait pas l'être dans le courant du mois de janvier.

U.

U.a Le 24 janvier 2024, la FINMA a transmis de nouvelles pièces caviardées aux requérants (annexes nos 2645 à 3026 ; transmission n° 7). Elle a également précisé qu'elle examinait si des intérêts privés prépondérants s'opposaient à la transmission de documents provenant de tiers. Elle a ajouté qu'à supposer que tel soit le cas et qu'ils ne puissent être transmis aux requérants d'ici la mi-février 2024, elle statuera à ce sujet par voie de décision.

U.b Par mémoire du 26 février 2024, les requérants (ci-après : les recourants) ont interjeté un recours contre la lettre de la FINMA du 24 janvier 2024. Ils demandent principalement au Tribunal d'annuler la décision attaquée, de constater que les renseignements et les données fournis dans cette décision sont incomplets et que les documents qu'ils contiennent ont été caviardés de manière disproportionnée, et d'inviter la FINMA à leur transmettre sans délai l'intégralité des documents en annexe de la lettre précitée, non caviardés. Subsidiairement, ils demandent au Tribunal d'annuler la décision en question, de constater que les renseignements et les données fournis dans la décision attaquée sont incomplets et que les documents qu'ils contiennent ont été caviardés de manière disproportionnée, et d'inviter la FINMA à leur transmettre sans délai l'intégralité des documents en annexe de la lettre du 24 janvier 2024 avec un léger caviardage afin que leur contenu soit compréhensible. Plus subsidiairement, ils demandent au Tribunal d'annuler la décision attaquée et de leur accorder le droit de consulter, au siège de la FINMA, l'intégralité des documents en annexe du courrier du 24 janvier 2024, non caviardés, afin de procéder à un tri adéquat des documents contenant leurs données personnelles. Leurs conclusions ont été prises avec suite de frais et dépens.

V.

V.a Le 13 février 2024, la FINMA a transmis aux recourants le solde des documents caviardés par ses soins annoncés dans sa lettre du 24 janvier 2024 (annexes nos 3027 à 3250 ; transmission n° 8). Elle explique qu'il s'agit de pièces émanant de tiers qui lui ont été remises et qu'elle a exploitées dans le cadre de l'exercice de son mandat légal.

Elle ajoute estimer avoir ainsi avoir répondu à la demande d'accès déposée par les recourants le 16 février 2022, et indique considérer que la requête de décision sujette à recours, telle que sollicitée le 15 décembre 2023, est devenue sans objet.

V.b Par mémoire du 15 mars 2024, les recourants ont interjeté un recours contre la lettre de la FINMA du 13 février 2024. Ils demandent au Tribunal, préalablement, de procéder à la jonction de la cause A-1692/2024 avec la cause A-1251/2024. Ils demandent principalement au Tribunal d'annuler la décision attaquée, de constater que les renseignements et les données fournis dans cette décision sont incomplets et que les documents annexés ont été caviardés de manière disproportionnée, et d'inviter la FINMA à leur transmettre sans délai l'intégralité des documents en annexe du courrier du 13 février 2024, non caviardés. Subsidiairement, ils demandent au Tribunal d'annuler la décision en question, de constater que les renseignements et les données fournis dans la décision du 13 février 2024 sont incomplets et que les documents annexés ont été caviardés de manière disproportionnée, et d'inviter la FINMA à leur transmettre sans délai l'intégralité des documents en annexe du courrier du 13 février 2024, avec un caviardage léger afin que leur contenu soit compréhensible. Plus subsidiairement, ils demandent au Tribunal d'annuler la décision attaquée et de leur accorder le droit de consulter, au siège de la FINMA, l'intégralité des documents en annexe du courrier du 13 février 2024, non caviardés, afin de procéder à un tri adéquat des documents contenant leurs données personnelles. Leurs conclusions ont été prises avec suite de frais et dépens.

W.

W.a Par ordonnance du 3 avril 2024, le juge instructeur a joint la cause A-1692/2024 à la cause A-1251/2024, en informant les parties que la procédure se poursuivrait sous ce dernier numéro.

W.b Le 6 mai 2024, la FINMA a déposé sa réponse au recours, concluant à titre principal à l'irrecevabilité des recours des 26 et 15 mars 2024 et, à titre subsidiaire, à leur rejet dans la mesure où ils sont recevables.

W.c Par ordonnance du 15 août 2025, le juge instructeur a imparti à l'autorité inférieure un délai pour l'informer de l'état d'avancement de la procédure d'enforcement qu'elle dirige contre la banque E._______, et pour lui préciser si ladite procédure est close ou fait l'objet d'un recours devant les autorités judiciaires (ch. 1). Il a également imparti aux recourant un délai pour l'informer de l'état d'avancement de la procédure pénale (...), et pour lui préciser si elle est terminée ou pendante devant les autorités judiciaires (ch. 2). Enfin, il a imparti aux recourants un délai pour l'informer s'ils ont eu accès aux pièces transmises par la FINMA dans le cadre de la procédure pénale précitée. Il leur a notamment demandé de préciser quelles pièces ils ont déjà obtenues, par quel biais et si ces documents ont été caviardés (ch. 3).

W.d Le 26 août 2025, la FINMA a informé le Tribunal que la procédure d'enforcement qu'elle a engagée contre la banque E._______ a été close par décision du 16 juin 2023, laquelle n'a pas fait l'objet d'un recours devant le Tribunal administratif fédéral.

W.e Le 12 septembre 2025, les recourants ont indiqué au Tribunal que la procédure pénale (...) avait été classée par le Ministère public de Genève à l'égard de A._______ par ordonnance de classement du 8 septembre 2025. Ils précisent également qu'ils n'ont pas eu accès aux pièces transmises par la FINMA dans ses envois successifs entre le 11 mai 2022 et le 13 février 2024, dans le cadre de la procédure pénale précitée. Ils ajoutent que les documents contenant a priori les données personnelles les concernant les plus pertinentes pour la présente procédure sont le rapport du chargé d'enquête du 8 septembre 2022, les prises de position de la banque E._______ (et la chronologie apparemment établie par cette dernière), ainsi que la décision de la FINMA du 16 juin 2023.

W.f Le 29 janvier 2026, la FINMA a répondu au Tribunal qu'elle ne pouvait pas se prononcer sur la question de savoir si et dans quelle mesure A._______ avait pu consulter le dossier pénal. Selon elle, il n'appartient pas à la présente procédure d'accorder ou de compléter l'accès au dossier dans le cadre de la procédure genevoise. Elle a toutefois indiqué qu'en vertu du droit d'accès prévu par la loi sur la protection des données, elle avait permis à A._______ de consulter les pièces du dossier contenant ses données, notamment le rapport du chargé d'enquête du 8 septembre 2022 (pag. 2645 à 2956), les prises de position de la banque E._______ (pag. 3027 à 3250) et la décision de la FINMA du 16 juin 2023 (pag. 2988 à 3026).

W.g A la suite d'une demande du juge instructeur du 12 mars 2026, le Ministère public du canton de Genève a informé le Tribunal que le rapport d'enquête du 8 septembre 2022, ses annexes, ainsi que la décision de la FINMA du 16 juin 2023 avaient fait l'objet d'une demande de mise sous scellés de la part de la banque E._______. Il ajoute que, par décision du Tribunal des mesures de contrainte du 19 février 2024, les scellés ont été levés et que, suite à cette levée, la banque E._______ a sollicité le caviardage de certains passages du rapport et de la décision de la FINMA par courrier du 8 novembre 2024. Il relève également que, vu l'issue de la procédure pénale, il n'a finalement pas eu à statuer sur cette demande et que les documents en question n'ont pas été consultés par les mandataires de A._______ dans le cadre de cette procédure. Il souligne toutefois que les conseils de la banque E._______ et de A._______ lui ont confirmé qu'il avait été convenu que les conseils de A._______ puissent consulter une partie des documents en question auprès de l'étude du conseil mandaté par la banque E._______, sans qu'il n'ait connaissance de l'étendue de cette consultation.

W.h Par ordonnance du 6 août 2026, le juge instructeur a fixé aux recourants un délai jusqu'au 21 août 2026 pour déposer d'éventuelles brèves observations finales, et a informé les parties que la cause serait gardée à juger dès la réception de ces observations, ou en cas de renonciation à en déposer.

X. Les autres faits et arguments des parties seront repris, pour autant que nécessaire, dans la partie consacrée au droit.

Droit :

1.1 La procédure de recours est régie par la loi fédérale du 20 décembre 1968 sur la procédure administrative (PA, RS 172.021), pour autant que la loi du 17 juin 2005 sur le Tribunal administratif fédéral n'en dispose pas autrement (cf. art. 37 LTAF, RS 173.32). Le Tribunal administratif fédéral examine d'office sa compétence (cf. art. 7 PA) et librement la recevabilité des recours qui lui sont soumis.

1.2 Conformément à l'art. 31 LTAF, le Tribunal administratif fédéral connaît, sous réserve des motifs d'exclusion énoncés à l'art. 32 LTAF, des recours contre les décisions au sens de l'art. 5 PA, prises par les autorités mentionnées à l'art. 33 LTAF. Pour être recevable, le recours doit donc être dirigé contre une décision au sens de l'art. 5 PA.

En l'espèce, les recourants ont déposé des recours contre des lettres du 24 janvier 2025 et du 13 février 2024 de la FINMA. Celle-ci constitue une autorité précédente au sens de l'art. 33 let. d LTAF en lien avec l'annexe I/B/V ch. 2.2.1 de l'ordonnance du 25 novembre 1998 sur l'organisation du gouvernement et de l'administration (OLOGA, RS 172.010.1), ce qui fonde sa compétence pour connaître du recours.

Reste à déterminer, s'agissant de la recevabilité des recours, si l'acte attaqué - en un domaine qui n'est pas exclu du recours au sens de l'art. 32 LTAF - doit être considéré comme une décision susceptible de recours au sens de l'art. 5 PA précité (cf. consid. 2 infra).

1.3 Concernant la qualité pour recourir des recourants, il convient de relever ce qui suit. Selon l'art. 48 al. 1 PA, à qualité pour recourir quiconque a pris part à la procédure devant l'autorité inférieure ou a été privé de la possibilité de le faire (let. a), est spécialement atteint par la décision attaquée (let. b), et a un intérêt digne de protection à son annulation ou à sa modification (let. c).

En l'espèce, les recourants ont expliqué à plusieurs reprises dans leurs écritures le but poursuivi par leur demande d'accès à leurs données personnelles. Selon eux, il s'agissait de pouvoir consulter les documents de la procédure d'enforcement menée par la FINMA afin de solliciter, le cas échéant, une rectification des informations qu'ils contiennent avant leur transmission au Ministère public genevois.

Toutefois, ces documents ayant déjà été transmis par la FINMA à l'autorité pénale, qui a rendu une ordonnance de classement dans le cadre de cette procédure, il est douteux que les recourants disposent encore d'un intérêt à obtenir l'annulation des deux décisions attaquées.

Cependant, vu l'issue du litige, cette question peut demeurer indécise.

1.4 Enfin, le recours a été déposé dans le délai (art. 50 al. 1 PA en relation avec l'art. 22a al. 1 let. b PA) et les formes (art. 52 al. 1 PA) prévus par la loi.

2. Les recourants soutiennent que les lettres du 24 janvier 2024 et du 13 février 2024 de la FINMA constituent des décisions susceptibles de recours, ce que la FINMA conteste, et ce que le Tribunal doit examiner d'office.

2.1

2.1.1 A l'appui de leurs recours, les recourants soulignent que, bien que les décisions attaquées ne soient pas formellement désignées comme telles, il s'agit d'actes unilatéraux émanant d'une autorité (la FINMA), fondés sur le droit public fédéral (la LPD), et visant une situation individuelle concrète, à savoir la demande d'accès des recourants à leurs données personnelles traitées dans le cadre d'une procédure d'Enforcement diligentée à l'encontre de la banque E._______.

Par ailleurs, les recourants soulignent que la FINMA indique ce qui suit dans sa décision du 24 janvier 2024 : « Sous réserve des documents de tiers évoqués ci-dessus, nous avons fait droit à votre requête ». Ils rappellent également que, dans sa décision du 13 février 2024, elle précise ce qui suit : « Nous estimons avoir ainsi fait droit à la demande d'accès déposée par vos mandants en date du 16 février 2022, et considérons que la requête de décision sujette à recours, telle que vous l'avez sollicitée dans votre courrier du 15 décembre 2023, est devenue sans objet ».

Les recourants considèrent que la FINMA règle de manière définitive la situation concernant les documents caviardés qui ont été transmis en annexe des décisions attaquées, en faisant comprendre qu'elle ne donnera aucune suite à la demande d'accès à cet égard.

En conclusion, ils estiment que les décisions attaquées produisent des effets juridiques contraignants à leur égard concernant la transmission des documents caviardés et qu'elles leur refusent un accès à leurs données personnelles, de sorte qu'il s'agit bien d'une décision au sens de l'art. 5 PA.

2.1.2 De son côté, dans ses déterminations du 6 mai 2024, la FINMA relève qu'au-delà du fait que ses courriers querellés n'ont pas été qualifiés de décisions et n'en remplissent pas les exigences formelles, ils n'en présentent pas non plus les caractéristiques matérielles. Elle précise que ces courriers constituent la transmission du solde des données requises par les recourants dans leur requête d'accès du 16 février 2022, comme annoncé par la FINMA en date des 4 et 19 octobre 2022, 28 novembre 2023, 10 et 24 janvier 2024. Elle estime que la transmission de données n'est toutefois ni un acte qui fait autorité ni ne crée un état contraignant qu'elle pourrait imposer d'une quelconque manière.

La FINMA considère qu'elle n'a pas définitivement réglé une situation de droit. Selon elle, il était en effet loisible aux recourants de solliciter des ouvertures ou des documents supplémentaires précis, voire de requérir une décision formelle sur l'ampleur de la transmission. Elle rappelle toutefois que les recourants ne l'ont jamais fait et que leur demande de décision portait expressément sur l'existence de motifs de refus et sur les intérêts de tiers.

Elle relève également qu'elle a considéré, dans son courrier du 13 février 2024, que la demande de décision était privée de tout objet. Selon la FINMA, si cela ne constitue pas un élément décisif pour la qualification de la décision, il s'agit néanmoins d'un indice tendant à démontrer qu'elle n'avait pas la volonté de qualifier ce courrier de décision. Elle ajoute qu'il en va de même pour son courrier du 24 janvier 2024 annonçant qu'une décision serait rendue, à supposer que des motifs au sens de l'art. 26 LPD s'opposent à la transmission.

En conclusion, la FINMA considère que, faute de caractère décisionnel, ses courriers ne sont pas susceptibles de recours et que les recours doivent être déclarés irrecevables.

2.2

2.2.1 A teneur de l'art. 5 al. 1 PA, sont considérées comme décisions les mesures prises par les autorités dans des cas d'espèce, fondées sur le droit public fédéral et ayant pour objet : de créer, de modifier ou d'annuler des droits ou des obligations (let. a) ; de constater l'existence, l'inexistence ou l'étendue de droits ou d'obligations (let. b) ; de rejeter ou de déclarer irrecevables des demandes tendant à créer, modifier, annuler ou constater des droits ou obligations (let. c). L'art. 35 al. 1 PA précise par ailleurs que, même si l'autorité les notifie sous forme de lettre, les décisions écrites sont désignées comme telles, motivées, et indiquent les voies de droit. Une notification irrégulière ne peut entraîner aucun préjudice pour les parties (cf. art. 38 PA).

2.2.2 En droit public, la notion de « décision » au sens large vise habituellement toute résolution que prend une autorité et qui est destinée à produire un certain effet juridique ou à constater l'existence ou l'inexistence d'un droit ou d'une obligation ; au sens étroit, c'est un acte qui, tout en répondant à cette définition, intervient dans un cas individuel et concret (cf. ATF 141 II 233 consid. 3.1). La notion de décision implique donc un rapport juridique obligatoire et contraignant entre l'autorité et l'administré (cf. ATF 141 I 201 consid. 4.2). En revanche, de simples déclarations, comme des opinions, des communications, des prises de position, des recommandations et des renseignements n'entrent pas dans la catégorie des décisions, faute de caractère juridique contraignant (cf. arrêts du TF 1C_361/2019 du 7 janvier 2020 consid. 3.1.2 ; 1C_593/2016 du 11 septembre 2017 consid. 2.2 ; 8C_220/2011 du 2 mars 2012 consid. 4.1.2). Pour déterminer s'il y a ou non décision, il y a lieu de considérer les caractéristiques matérielles de l'acte. Un acte peut ainsi être qualifié de décision (matérielle), si, par son contenu, il en a le caractère, même s'il n'est pas intitulé comme tel et ne présente pas certains éléments formels typiques d'une décision, telle l'indication des voies de droit (cf. arrêts du TF 1C_361/2019 précité consid. 3.1.2 ; 2C_282/2017 du 4 décembre 2017 consid. 2.1 ; 1C_532/2016 du 21 juin 2017 consid. 2.3.1 ; arrêt du TAF A-4539/2019 du 6 avril 2021 consid. 4.2.2). Concernant la condition des effets juridiques, il s'agit de se demander si le but de l'action de l'autorité est le règlement de la position juridique de l'intéressé, soit son organisation délibérée, expresse et contraignante (arrêt du TAF A-4539/2019 précité consid. 4.2.2 ; A-6805/2009 du 9 septembre 2010 consid. 2 et les réf. cit.).

2.3 Il convient donc d'examiner si les lettres du 24 janvier 2025 et du 13 février 2024 de la FINMA constituent des décisions au sens de l'art. 5 PA.

2.3.1 A cet égard, force est d'emblée de constater que les conditions formelles prévues en particulier à l'art. 35 al. 1 PA - soit notamment la mention qu'il s'agit d'une décision, ainsi que l'indication des voies de droit - ne sont pas remplies, ce qui n'est pas contesté par les parties.

Ce constat ne suffit cependant pas encore à exclure l'existence d'une décision. Au même titre, le fait que la FINMA mentionne des passages de ses lettres afin de démontrer qu'elle n'avait pas la volonté de rendre des décisions, ne s'avère pas non plus déterminant.

Est seul décisif, en définitive, le point de savoir si ces lettres réunissent objectivement les spécificités matérielles d'une décision (cf. consid. 2.2.2 supra).

2.3.2 En l'espèce, le Tribunal retient que les lettres en question sont des décisions en sens de l'art. 5 PA.

Dans sa lettre du 24 janvier 2024, la FINMA revient d'abord sur les annexes transmises aux recourants dans ses précédents envois (transmissions nos 1 à 6). Elle leur explique ensuite qu'ils trouveront en annexe (n° 2645 à 3026) les pièces issues d'une procédure de la FINMA concernant des tiers. Elle précise que ces pièces émanent de la FINMA ou lui ont été adressées afin de lui permettre d'exercer son mandat légal de surveillance.

Après plusieurs explications, la FINMA souligne que la recherche actualisée à ce jour n'a pas permis de trouver de nouveaux documents contenant les données personnelles des recourants auxquelles la loi sur la protection des données leur donnerait accès. Elle conclut en indiquant qu'elle a « fait droit à [leur] requête », sous réserve des documents de tiers évoqués dans son courrier et qu'elle indique être en train d'examiner.

Par ailleurs, dans sa lettre du 13 février 2024, la FINMA informe les recourants que le solde des documents annoncés dans sa lettre du 24 janvier 2024 figure en annexe (n° 3027 à 3250). Elle explique qu'il s'agit de pièces émanant de tiers qui ont lui ont été remises et qu'elle a exploitées dans le cadre de l'exercice de son mandat légal. Elle informe ainsi les recourants qu'elle a fait droit à leur demande d'accès et que leur requête de décision sujette à recours est devenue sans objet.

Au vu de ce qui précède, et comme cela a déjà été évoqué, la FINMA n'entendait rendre aucune décision dans ses lettres. Il aurait donc été opportun que les recourants en sollicitent une avant de déposer leurs recours. Cependant, dès lors que la FINMA a transmis aux recourants de nombreuses pièces caviardées afin de donner suite à leur demande d'accès à leurs données personnelles, il faut considérer que ces lettres impliquent un rapport juridique obligatoire et contraignant entre les recourants et l'autorité, ne serait-ce que dans le choix des documents transmis et des caviardages effectués.

Il convient par conséquent de considérer qu'il s'agit bien de décisions attaquables au sens de l'art. 5 PA.

2.3.3 Il s'ensuit que les lettres du 24 janvier 2025 et du 13 février 2024 présentent les caractéristiques matérielles d'une décision au sens de l'art. 5 PA. Les recours interjetés contre ces courriers sont par conséquent recevables, sous réserve de la question de la qualité pour recourir des recourants, qui a été laissée ouverte (cf. consid. 1.3 supra).

Ce résultat conduit également le Tribunal de céans à renoncer à examiner le grief de déni de justice et de retard injustifié invoqué par les recourants, dans l'hypothèse où il conclurait que la décision attaquée n'est pas une décision au sens de l'art. 5 PA (cf. recours du 26 février 2024, n° 11 à 21 ; recours du 15 mars 2024, n° 11 à 22).

Le Tribunal tient néanmoins à souligner que, compte tenu de l'ampleur du travail et des recherches nécessaires à la FINMA pour traiter la requête des recourants, de leurs nombreuses sollicitations à son égard, du nombre de documents que la FINMA leur a transmis entre mai 2022 et février 2024 (huit transmissions contenant 3250 documents, cf. réponse aux recours de la FINMA, n° 27, p. 7 ; cf. également, Faits, let. D à V supra), qui ont dû être caviardés au préalable par la FINMA, de l'extension des recherches à de nouveaux mots-clés et des compléments de recherche effectués par la FINMA à leur demande, les recourants sont malvenus de se plaindre d'un quelconque retard injustifié de la part de la FINMA à statuer.

3. Le recours peut être formé pour violation du droit fédéral, y compris l'excès ou l'abus du pouvoir d'appréciation, pour constatation inexacte ou incomplète des faits pertinents, ainsi que pour inopportunité, sauf si une autorité cantonale a statué comme autorité de recours (cf. art. 49 PA).

3.1 Le Tribunal administratif fédéral fait cependant preuve d'une certaine retenue dans l'exercice de son pouvoir d'examen, lorsque la nature des questions litigieuses qui lui sont soumises l'exige, singulièrement lorsque leur analyse nécessite des connaissances spéciales ou encore lorsqu'il s'agit de circonstances locales que l'autorité qui a rendu la décision connaît mieux (cf. ATF 131 II 680 consid. 2.3.3 ; arrêt du TAF A-379/2016 du 8 septembre 2016 consid. 2.2). En matière de protection des données, l'autorité dispose d'un large pouvoir d'appréciation lorsqu'il s'agit d'examiner si, dans une situation concrète, il existe un intérêt public prépondérant (cf. ATF 125 II 225 consid. 4a ; arrêts du TAF B-3450/2018 du 24 août 2018 consid. 3.1 ; A-2318/2013 du 23 janvier 2015 consid. 8.2.3 ; Ralph Gramigna, in : Gabor P. Blechta/David Vasella [édit.], Basler Kommentar Datenschutzgesetz/Öffentlichkeitsgesetz 2024, 4e éd., 2024 [ci-après : BSK DSG 2024], n° 31 ad art. 26 LPD). Si les réflexions de l'autorité précédente apparaissent pertinentes, le Tribunal n'empiétera pas sur son pouvoir d'appréciation. En revanche, le Tribunal vérifiera librement si l'autorité inférieure a établi complètement et exactement les faits pertinents et, sur cette base, correctement appliqué la législation en matière de protection des données, sans se laisser guider par des motifs étrangers aux normes appliquées (cf. ATF 123 V 150 consid. 2 ; André Moser/Michael Beusch/Lorenz Kneubühler/Martin Kayser, Prozessieren vor dem Bundesverwaltungsgericht, 3e éd., 2022, n° 2.154 ss).

3.2 La procédure fédérale est essentiellement régie par la maxime inquisitoire, ce qui signifie que l'autorité administrative constate les faits d'office et procède, s'il y a lieu, à l'administration de preuves par les moyens idoines (cf. art. 12 PA). La maxime inquisitoire doit cependant être relativisée par son corollaire : le devoir de collaborer des parties (cf. art. 13 PA ; CLÉMENCE GRISEL, L'obligation de collaborer des parties en procédure administrative, 2008, n° 142). La procédure de recours devant le Tribunal administratif fédéral est également régie par la maxime inquisitoire en vertu de l'art. 37 LTAF. Celle-ci est cependant quelque peu tempérée, notamment en raison du fait qu'il ne s'agit, dans ce cas, pas d'un établissement des faits ab ovo. Il convient de tenir compte de l'état de fait déjà établi par l'autorité inférieure. En ce sens, le principe inquisitoire est une obligation de vérifier d'office les faits constatés par l'autorité inférieure plus que de les établir (cf. arrêts du TAF A-5584/2008 du 11 juin 2010 consid. 1.2.1 ; A-6120/2008 du 18 mai 2010 consid. 1.3.2).

3.3 Le Tribunal administratif fédéral applique le droit d'office, sans être lié par les motifs invoqués (cf. art. 62 al. 4 PA), ni par l'argumentation juridique développée dans la décision attaquée (cf. Moser/Beusch/Kneubühler et al., op. cit., n° 2.165). Il se limite, en principe, aux griefs soulevés et n'examine les questions de droit non invoquées que dans la mesure où les arguments des parties ou le dossier l'y incitent (cf. ATF 135 I 91 consid. 2.1 ; ATAF 2014/24 consid. 2.2.).

4. En l'espèce, comme indiqué précédemment, les lettres de la FINMA datées du 24 janvier et du 13 février 2024 transmettent des annexes caviardées aux recourants (annexes n° 2645 à 3026 et n° 3027 à 3250), faisant suite à leur demande d'accès à leurs données personnelles (cf. Faits, let. B supra). Il s'agit des transmissions n° 7 et 8 (cf. Faits, let. U.a et V.a supra), qui contiennent environ 2'000 pages caviardées. Il convient de préciser que la FINMA avait au préalable procédé à plusieurs autres transmissions de pièces aux recourants (transmission n° 1 à 6), comme cela ressort de l'état de fait (cf. Faits, let. D, F, G, H.b, I et N). Cependant, les recours déposés par les recourants s'attaquent uniquement aux décisions du 24 janvier et du 13 février 2024.

A l'appui de leurs recours, outre la demande d'annulation des décisions attaquées, les recourants prennent trois conclusions différentes. Ils demandent principalement au Tribunal de constater que les renseignements et les données fournis sont incomplets et que les documents qu'ils contiennent ont été caviardés de manière disproportionnée. Ils demandent également au Tribunal d'inviter la FINMA à leur transmettre l'intégralité des documents en annexe des lettres précitées, non caviardés. Subsidiairement, ils prennent une conclusion sensiblement similaire, mais demandent à la FINMA de leur transmettre les documents en question avec un caviardage léger afin que leur contenu soit compréhensible. Enfin, ils demandent au Tribunal de leur accorder le droit de consulter l'intégralité de ces documents, non caviardés, au siège de la FINMA, afin de procéder à un tri adéquat des documents contenant leurs données personnelles.

Le litige porte donc sur les décisions précitées de la FINMA faisant suite aux demandes d'accès aux données personnelles des recourants. Le Tribunal doit au préalable examiner la question du droit applicable au présent litige, dès lors que la loi fédérale du 25 septembre 2020 sur la protection des données est entrée en vigueur le 1er septembre 2023 (loi fédérale sur la protection des données du 25 septembre 2020 [LPD, RS 235.1]).

5. Comme indiqué précédemment, la LPD a fait l'objet d'une révision totale qui est entrée en vigueur le 1er septembre 2023. La question du droit applicable dans le temps n'est pas purement théorique dans le cas d'espèce, puisque la nouvelle LPD a supprimé la protection des données des personnes morales. Celles-ci ne peuvent donc plus invoquer de droits spécifiques en la matière sur la base de cette loi. Or, parmi les quatre recourants, trois sont des personnes morales.

5.1 Dans ses dispositions transitoires, la nouvelle LPD prévoit qu'elle ne s'applique pas aux recours pendants contre les décisions de première instance rendues avant son entrée en vigueur (cf. art. 70 LPD). A contrario, la nouvelle LPD s'applique aux recours pendants contre les décisions de première instance rendues après son entrée en vigueur.

5.2 Le Tribunal de céans constate que la FINMA semble appliquer le nouveau droit, du moins dans sa décision du 24 janvier 2024, dans laquelle elle y fait référence. Sa réponse aux recours du 6 mai 2024 n'aborde pas cette question et se limite à mentionner à la fois le nouveau et l'ancien droit. Il ressort toutefois des échanges de septembre et d'octobre 2023 entre la FINMA et les recourants que la FINMA avait initialement indiqué à ces derniers qu'elle ne traiterait plus les requêtes des sociétés recourantes à la suite de l'entrée en vigueur de la nouvelle LPD. Toutefois, face à l'opposition des recourants, qui se prévalait notamment d'un avis de droit de l'Office fédéral de la justice (cf. consid. 5.3 infra), la FINMA a décidé de faire machine arrière et a indiqué aux recourants qu'elle poursuivrait le traitement de l'ensemble des requêtes (cf. Faits, let. R supra).

5.3 En l'espèce, le Tribunal de céans est interpellé par l'avis de droit préparé par l'Office fédéral de la justice auquel les recourants se réfèrent. On y lit en effet, de manière contradictoire, que cette autorité ne fournit pas de conseils dans des cas particuliers et se limite à des explications générales, mais qu'elle partage également l'avis des recourants selon lequel l'ancien droit devrait continuer à s'appliquer aux demandes d'accès déposées avant le 1er septembre 2023. Le Tribunal est d'autant plus interpellé que l'avis en question ne mentionne nullement l'art. 70 LPD.

Quoi qu'il en soit, le Tribunal fédéral et les autres autorités sont tenus d'appliquer les lois fédérales (art. 190 de la Constitution fédérale de la Confédération suisse du 18 avril 1999 [Cst., RS 101]). En l'espèce, la nouvelle LPD était déjà en vigueur lorsque l'autorité inférieure a rendu ses décisions des 24 janvier et 13 février 2024. Par conséquent, le Tribunal de céans ne dispose d'aucune marge de manoeuvre et doit appliquer l'art. 70 LPD, ce qui conduit à l'application du nouveau droit.

Le même raisonnement aurait dû s'appliquer à la FINMA au moment de l'entrée en vigueur de la nouvelle loi. C'est donc à juste titre que la FINMA informait les recourants, dans son courrier du 4 septembre 2023, que la poursuite du traitement interviendrait exclusivement sur la base du droit en vigueur, à savoir la nouvelle LPD, et ne concernerait que les données personnelles du recourant 1. C'est donc en violation du droit fédéral, et plus précisément de l'art. 70 LPD, que la FINMA a finalement décidé de continuer à traiter la requête des sociétés recourantes selon la nouvelle LPD.

Pour ces motifs, les recours doivent être rejetés en ce qui concerne les recourantes 2 à 4, dans la mesure où les demandes d'accès au sens de la LPD ne peuvent porter que sur les données personnelles du recourant 1. Comme on le verra dans le considérant qui suit, les recours devant être rejetés pour un autre motif, il est inutile d'examiner si et dans quelle mesure l'art. 13 al. 2 Cst. serait susceptible de s'appliquer dans le cas d'espèce aux recourantes 2 à 4.

Il convient d'examiner en premier lieu si la demande d'accès déposée par les recourants ne serait pas constitutive d'un abus de droit au sens de l'art. 26 al. 1 let. c LPD.

6.1 Le droit d'accès aux données personnelles et la restriction concernant l'abus de droit sont régis par les dispositions légales qui seront présentées dans les considérants suivants (cf. consid. 6.1.1 et 6.1.2 infra). La jurisprudence (cf. consid. 6.1.3 à 6.1.6 infra) et la doctrine (cf. consid. 6.1.7 infra) pertinentes relatives à l'abus de droit en matière de protection des données seront également exposées.

6.1.1 A teneur de l'art. 25 al. 1 LPD, toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.

Selon l'art. 25 al. 2 LPD, la personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la LPD et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes : l'identité et les coordonnées du responsable du traitement (let. a), les données personnelles traitées en tant que telles (let. b), la finalité du traitement (let. c), la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière (let. d), les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée (let. e) et, le cas échéant, l'existence d'une décision individuelle automatisée et la logique sur laquelle se base la décision (let. f) ainsi que les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19 al. 4 LPD (let. g).

6.1.2 Le principe de l'interdiction de l'abus de droit est consacré à l'art. 2 al. 2 du Code civil suisse du 10 décembre 1907 (CC, RS 210), qui précise que l'abus d'un droit n'est pas protégé par la loi. En matière de protection des données, ce principe est spécifiquement codifié à l'art. 26 al. 1 let. c LPD. Selon cette disposition, le responsable du traitement peut refuser, restreindre ou différer la communication des renseignements dans le cas où la demande d'accès est manifestement infondée notamment parce qu'elle poursuit un but contraire à la protection des données ou est manifestement procédurière.

Par ailleurs, le message du 15 septembre 2017 concernant la loi fédérale sur la révision totale de la LPD et sur la modification d'autres lois fédérales, qui s'appuie sur la jurisprudence du Tribunal fédéral antérieure à l'entrée en vigueur de la nouvelle LPD (en particulier l'ATF 138 II 425, voir consid. 6.1.3 infra), souligne que si l'auteur de la demande invoque un motif que l'on peut qualifier d'emblée d'infondé (c'est-à-dire sans clarifications approfondies et de manière certaine), le responsable du traitement peut restreindre la communication. Le message précise également que ce n'est qu'à ces conditions que l'on peut conclure au caractère manifestement infondé du droit d'accès. En d'autres termes, il doit être manifeste que le droit d'accès a été invoqué dans un but qui ne relève aucunement du champ d'application de la LPD ou qu'il vise une finalité tout autre (p. ex. une intention frauduleuse). Le message relève également que si l'on n'a pas la certitude, mais seulement un doute quant à la nature de la demande, on ne peut pas parler d'une demande manifestement infondée (cf. FF 2017 6565, p. 6686).

6.1.3 Dans l'ATF 138 III 425, rendu sous l'empire de l'ancienne LPD, le Tribunal fédéral a précisé qu'un abus de droit entrait en considération lorsque le droit d'accès était exercé dans un but étranger à la protection des données, par exemple pour éviter les frais normalement engendrés par l'obtention de ces données (cf. ATF 138 III 425 consid. 5.5 et la réf. cit.). Selon le Tribunal fédéral, serait également abusive une demande d'accès dépourvue de tout intérêt véritable aux données, le droit d'accès n'étant utilisé que pour nuire au débiteur du droit d'accès. Il faudrait probablement considérer comme contraire à son but, et donc abusive, l'utilisation du droit d'accès dans le but exclusif d'espionner une (future) partie adverse et de se procurer des preuves normalement inaccessibles. En effet, le droit d'accès n'a pas pour but de faciliter l'obtention de moyens ou d'interférer dans le droit de procédure civile (cf. ATF 138 III 425 consid. 5.5 et la réf. cit.).

Dans l'affaire objet de la jurisprudence précitée, des titulaires de comptes de dépôt (ci-après : les intimés) avaient demandé à leur banque (ci-après : la recourante) de leur transmettre sa documentation interne, notamment celle relative au profil client et à l'objectif de placement des titulaires en question. Dans le cadre de ces relations de dépôt, la banque avait effectué des opérations sur options qui avaient entraîné des pertes pour les intimés. La recourante faisait valoir que la demande d'accès des intimés visait à soustraire des preuves. Selon elle, les intimés n'exerceraient leur droit d'accès que pour collecter des preuves en vue d'une demande en dommages-intérêts dont ils l'auraient menacée.

Le Tribunal fédéral a toutefois nié un abus de droit en l'espèce. Il a relevé que la Cour cantonale n'avait pas constaté que les intimés souhaitaient prospecter des preuves de manière répréhensible ou qu'ils exigeaient la remise de documents qu'ils ne pourraient pas obtenir dans le cadre de la procédure civile. Le Tribunal fédéral a souligné que les intimés avaient un intérêt à accéder aux données les concernant pour en contrôler l'exactitude. Ainsi, même si les intimés voulaient contrôler ces données également en vue d'une éventuelle action en dommages-intérêts, leur demande d'accès ne serait pas encore abusive. Selon le Tribunal fédéral, la Cour cantonale n'a pas constaté de circonstances indiquant un abus de droit manifeste (cf. ATF 138 III 425 consid. 5.6).

Cet arrêt a été critiqué, notamment par un auteur qui relève que, même si le seuil d'abus de droit est élevé dans la pratique judiciaire suisse, il est difficile de concevoir comment une recherche de preuves intentionnelle pourrait se manifester plus clairement que dans cette affaire. Selon lui, des indices laissant supposer une motivation potentiellement abusive de la part des requérants dans la correspondance préalable au procès étaient manifestes (cf. Nicolas Passadelis, Datenschutzrechtliches Auskunftsrecht erlaubt keine Beweisausforschung, in : CJN, publié le 4 mars 2013, n° 10 ss).

6.1.4 L'argument de l'abus de droit a également été rejeté par le Tribunal fédéral dans l'ATF 141 III 119. Le contexte de cette affaire était le suivant : des employés d'une banque (ci-après : les intimés) avaient demandé à cette dernière de leur communiquer par écrit les données personnelles les concernant qui avaient été transmises aux autorités américaines. Celles-ci avaient ouvert une procédure contre plusieurs banques, dont la banque en question (ci-après : la recourante), qu'elles soupçonnaient notamment d'avoir aidé des clients américains à se soustraire à leurs obligations fiscales.

En l'espèce, le Tribunal fédéral a souligné que les intimés expliquaient souhaiter obtenir une copie de leurs données pour deux raisons. Premièrement, afin de pouvoir juger de l'éventuelle illicéité du traitement effectué par la recourante et formuler d'éventuelles futures prétentions civiles contre celle-ci (cf. ATF 141 III 119 consid. 7.1.2). Deuxièmement, pour anticiper d'éventuels problèmes causés par le Department of Justice (DoJ) et préparer leur défense sur la base des informations et des données transmises et d'ores et déjà en possession de l'autorité pénale étrangère. Selon le Tribunal fédéral, il n'a pas été constaté que les intimés souhaitaient prospecter des preuves de manière répréhensible ou qu'ils exigeaient la remise de documents auxquels ils ne pourraient pas prétendre dans le cadre de la procédure civile. Il en a donc conclu qu'on ne saurait dire que la requête des employés, qui n'est ni chicanière ni contraire au but qu'elle est censée poursuivre, est abusive. Le Tribunal fédéral a également ajouté qu'il serait paradoxal, dans le cas d'espèce, de considérer leur requête comme un prétexte à une recherche indéterminée de moyens de preuve (fishing expedition), les employés ayant en effet déjà pris connaissance du contenu des documents visés par le biais de leur ancienne activité ou des consultations entreprises dans les locaux de la banque (cf. ATF 141 III 119 consid. 7.1.3).

6.1.5 Dans un arrêt de 2020 (cf. arrêt du TF 4A_277/2020 du 18 novembre 2020), le Tribunal fédéral a reconnu une utilisation abusive du droit d'accès. Il soulignait notamment que, dans les ATF 138 III 425 et 141 III 119, il avait écarté l'existence d'un abus de droit, car il existait dans chaque cas un intérêt manifeste de la personne concernée à pouvoir vérifier les données la concernant ou leur traitement par la partie requise. Ce n'était pas le cas dans cette affaire, selon le Tribunal fédéral. L'instance précédente avait en effet constaté que les parties défenderesses, par leur demande d'informations, visaient uniquement la préparation d'un procès civil et, partant, l'évaluation des chances de succès d'une action en justice (cf. arrêt du TF 4A_277/2020 précité consid. 5.1 et 5.4). Il a également relevé que, comme le soutenaient à juste titre les appelants, cette motivation transparaissait dans la portée de la demande d'accès, qui portait sur l'ensemble de la correspondance et des documents (dans la mesure où ils concernaient les parties défenderesses). Le Tribunal fédéral a également noté que les parties défenderesses ne prétendaient pas souhaiter vérifier l'exactitude de ces données ou le respect des principes de traitement des données, afin de faire valoir, le cas échéant, des droits fondés sur la LPD.

Dans ces circonstances, le Tribunal fédéral a considéré que la demande d'accès des parties défenderesses constituait un abus de droit manifeste, car elles faisaient usage du droit d'accès prévu par la législation sur la protection des données à des fins contraires à celles prévues. En estimant que l'art. 8 aLPD ne présupposait pas un intérêt au titre de la protection des données, mais pouvait également servir à la seule évaluation des chances de succès d'une action en justice, le Tribunal fédéral a jugé que la Cour suprême du canton de Berne s'était fondée sur une conception juridique erronée.

6.1.6 Dans un arrêt de 2023, le Tribunal fédéral a relevé que, du point de vue de la protection des données, le droit à la communication des données ne s'applique que dans la mesure où il répond aux objectifs légaux pertinents (cf. arrêt du TF 8C_723/2022 du 6 octobre 2023 consid. 5.3). Il a également rappelé que le droit d'accès prévu à l'art. 8 aLPD (désormais : art. 25 LPD) a pour but de permettre à la personne concernée d'exercer ses autres droits en matière de protection des données (cf. arrêt du TF 8C_723/2022 précité consid. 5.3 et les réf. aux ATF 140 V 464 consid. 4.2 et 139 V 492 consid. 3.2). Il a relevé à cet égard que, selon ses propres déclarations, la recourante entendait prouver, à l'aide des données de validation de la demande, qu'elle était effectivement, comme l'avaient exposé ses médecins traitants, massivement limitée dans sa capacité de travail. Ainsi, selon le Tribunal fédéral, sa demande reposait exclusivement sur la poursuite ou l'exercice d'un droit relevant du droit des assurances sociales. Etant donné que cet objectif ne correspond manifestement pas à celui de la LPD (cf. également à ce sujet : art. 26 al. 1 let. c LPD), il n'est pas possible de se prévaloir du droit d'accès prévu par la législation sur la protection des données.

6.1.7 Dans la doctrine, Ralph Gramigna souligne qu'une demande d'accès est manifestement infondée lorsqu'elle est déposée en amont d'une procédure en cours ou imminente et concerne des supports de données susceptibles d'avoir une incidence sur l'issue de la procédure. Il rappelle également que seules les données personnelles en tant que telles, et non les supports de données tels que les documents, les courriels et autres, sont soumises au droit d'accès (cf. Ralph Gramigna, n° 25 ad art. 26 LPD, in : BSK DSG 2024).

Par ailleurs, Yaniv Benhamou se demande si, avec la nouvelle formulation de l'art. 26 al. 1 let. c LPD, les cas d'abus de droit ne seront pas admis plus facilement, soit non seulement lorsque la demande ne poursuit aucun objectif de protection des données (ce qui est difficile à démontrer en pratique selon cet auteur), mais aussi lorsqu'elle poursuit un but manifestement étranger à la protection des données (cf. Yaniv Benhamou, n° 17 ad art. 26 LPD, in : Philippe Meier/Sylvain Métille [édit.], Commentaire romand Loi fédérale sur la protection des données, 2023).

Une partie de la doctrine, critique à l'égard de la jurisprudence du Tribunal fédéral antérieure à l'entrée en vigueur de la nouvelle LPD (cf. consid. 6.1.3 et 6.1.4 supra), estime que l'art. 26 al. 1 let. c LPD constitue une restriction qui s'écarte de cette jurisprudence.

Selon David Rosenthal, la nouvelle formulation de l'art. 26 al. 1 let. c LPD marque un changement de système : pour présumer d'un abus, il n'est plus nécessaire de démontrer que la demande d'accès ne poursuit aucun objectif de protection des données (ce qui est difficile à démontrer), il suffit de démontrer qu'elle poursuit manifestement un objectif étranger à la protection des données. L'auteur mentionne le cas d'un employé qui, à la suite d'un licenciement prétendument injustifié, exigerait de son ancien employeur, par l'entremise de son avocat, la remise de tous les courriels et procès-verbaux le concernant. Selon cet auteur, il est évident que cet employé tente de justifier des prétentions en droit du travail. Il considère ainsi qu'à la lumière du nouveau droit, l'ATF 138 III 425 (voir consid. 6.1.3 supra concernant cet arrêt) devrait être réévalué (cf. David Rosenthal, Das neue Datenschutzgesetz, in : Jusletter 16 novembre 2020, n° 125).

Gregor Bühler souligne qu'il est possible qu'un demandeur dissimule ses véritables motivations et invoque, en apparence, d'autres motifs conformes à la LPD pour justifier sa demande d'accès. Selon lui, il s'agit en fin de compte de faits subjectifs dont la preuve est, par nature, problématique. Avec la nouvelle réglementation, il estime qu'il suffit désormais de pouvoir démontrer que la demande sert manifestement et de manière pertinente un objectif qui ne concerne pas la protection des données (cf. Gregor Bühler, in : Luca Dal Molin/Kirsten Wesiak-Schmidt [édit.], Datenschutz im Unternehmen, 2023, § 4 n° 47).

Kevin Beugger estime pour sa part que l'art. 26 al. 1 let. c LPD doit être considéré comme un durcissement de la jurisprudence antérieure du Tribunal fédéral. Selon lui, cette jurisprudence était en effet trop restrictive. D'une part, invoquer des motifs liés à la protection des données empêchait de prouver l'existence de motifs contraires aux finalités de la protection des données. D'autre part, la preuve d'un fait interne que devait apporter le responsable du traitement était déjà suffisamment difficile en soi, raison pour laquelle la preuve d'une finalité contraire à la protection des données doit désormais suffire pour justifier une restriction. L'analyse de cet auteur découle essentiellement de la lettre de la loi. Selon lui, la formulation relative à la poursuite d'un but contraire à la protection des données laisse plutôt supposer qu'un tel but suffit à justifier la restriction, même si d'autres motifs liés à la protection des données sont également présents (cf. Kevin Beugger, Das Auskunftsrecht im Datenschutzrecht, 2025, n° 123-124).

D'autres auteurs défendent par ailleurs le point de vue conforme à la pratique antérieure du Tribunal fédéral, malgré le texte de l'art. 26 al. 1 let. c LPD.

Nicolas Béguin estime qu'une demande d'accès qui poursuivrait plusieurs objectifs, dont certains ne seraient pas motivés par la protection des données de la personne concernée, ne signifie pas que le droit d'accès peut être restreint en application de l'art. 26 al. 1 let. c LPD. Selon lui, dans la mesure où la demande d'accès a effectivement un but lié à la protection des données, elle ne saurait être restreinte au motif qu'il existerait d'autres finalités étrangères à ce but. Toujours selon cet auteur, il pourrait en aller différemment si le but invoqué en rapport avec la protection des données ne constituait qu'un prétexte visant à contourner l'application de l'art. 26 al. 1 let. c LPD (cf. Nicolas Béguin, n° 17 ad art. 26 LPD, in : Yaniv Benhamou/Bertil Cottier [édit.], Petit commentaire LPD Loi fédérale sur la protection des données, 2023).

Enfin, selon Astrid Epiney et al., le fait que les données puissent éventuellement servir à une procédure ultérieure ne permet pas en soi de conclure qu'une finalité contraire à la LPD est poursuivie, car il peut également exister un lien avec la sauvegarde des droits des personnes concernées. Toutefois, selon ces auteurs, il peut y avoir abus de droit lorsque le droit d'accès est utilisé pour obtenir des preuves auxquelles la personne concernée n'aurait pas accès autrement (cf. Astrid Epiney/Daniela Nüesch/Sophia Rovelli, Datenschutzrecht in der Schweiz, 2023, p. 173).

6.2 Il convient de rappeler que la demande d'accès aux données personnelles des recourants a été déposée auprès de la FINMA alors que cette dernière avait ouvert une procédure d'enforcement contre la banque E._______, qu'une procédure pénale avait été ouverte par le Ministère public du canton de Genève à l'encontre de A._______, et que la FINMA avait obtenu l'entraide administrative du Ministère public du canton de Genève. Dans ce cadre, les règles applicables à la FINMA sont notamment les suivantes.

6.2.1 Selon l'art. 22 al. 2 de la loi fédérale du 22 juin 2007 sur l'Autorité fédérale de surveillance des marchés financiers (LFINMA, RS 956.1), la FINMA ne donne aucune information sur des procédures particulières à moins que la communication d'une information ne réponde à une nécessité dictée par le droit de surveillance, notamment si la communication a pour but de protéger les acteurs financiers ou les assujettis (let. a), de rectifier des informations fausses ou fallacieuses (let. b), ou de garantir la réputation de la place financière suisse (let. c).

6.2.2 Sans entrer dans les détails, la procédure d'enforcement devant la FINMA peut être subdivisée en trois étapes (cf. arrêt du TF 2C_771/2019 du 14 septembre 2020 consid. 7.1).

La première étape, celle des investigations préalables, vise à vérifier le bien-fondé d'un soupçon de violation du droit de la surveillance. L'établissement est tenu par le droit de la surveillance de collaborer et de fournir les informations requises (art. 29 LFINMA).

La phase des investigations préalables durant laquelle la FINMA collecte des informations, au besoin en nommant un chargé d'enquête, peut s'avérer critique pour la personne potentiellement visée (cf. arrêt du TF 2C_771/2019 précité consid. 7.1.2).

La deuxième étape est celle de la procédure d'enforcement. Si le soupçon est avéré, la FINMA peut décider d'ouvrir une telle procédure à l'encontre de l'établissement ou de la personne physique concernée (cf. arrêt du TF 2C_771/2019 précité consid. 7.1.3). Cette deuxième étape est soumise à la PA et débute par la décision d'ouvrir une procédure, laquelle est, en principe, communiquée aux parties (art. 30 LFINMA).

Dans le cadre des instruments de surveillance, l'art. 29 LFINMA prévoit une obligation de renseigner et d'annoncer des assujettis, de leurs sociétés d'audit et des organes de révision ainsi que des personnes et entreprises détenant une participation qualifiée ou prépondérante au sein des établissements assujettis.

Selon l'art. 30 LFINMA, si des indices donnent à penser que le droit de la surveillance a été enfreint et que la FINMA ouvre une procédure, elle en avise les parties.

La troisième étape porte sur la décision à prendre et au prononcé d'éventuelles mesures (cf. arrêt du TF 2C_771/2019 précité consid. 7.1.4).

6.2.3 La FINMA peut charger un spécialiste indépendant (chargé d'enquête) d'effectuer une enquête dans l'établissement d'un assujetti pour élucider un fait relevant de la surveillance ou pour mettre en oeuvre les mesures de surveillance qu'elle a ordonnées (art. 36 al. 1 LFINMA).

Le rapport du chargé d'enquête constitue une expertise de spécialiste au sens de l'art. 12 let. e PA (cf. arrêt du TF 2C_771/2019 précité consid. 7.2).

6.2.4 Selon l'art. 38 al. 1 LFINMA, la FINMA et l'autorité de poursuite pénale compétente échangent les informations dont elles ont besoin pour accomplir leurs tâches dans le cadre de leur collaboration. Elles ne peuvent utiliser les informations reçues que pour accomplir leurs tâches respectives.

Elles coordonnent leurs enquêtes dans la mesure où cela est nécessaire et possible (art. 38 al. 2 LFINMA).

Lorsque la FINMA a connaissance de crimes ou de délits de droit commun, ou d'infractions à la présente loi ou aux lois sur les marchés financiers, elle en informe les autorités de poursuite pénale compétentes (art. 38 al. 3 LFINMA).

6.2.5 La jurisprudence a déjà eu l'occasion de souligner que si une partie soumise à la surveillance de la FINMA ne peut pas s'opposer à la production du dossier de la FINMA au cours de la procédure d'entraide entre autorités, elle peut en revanche faire valoir ses droits dans le cadre de la procédure pénale et soulever l'éventuel non-respect de son droit de ne pas collaborer (cf. arrêts du TF 7B_45/2022 du 21 juillet 2025 consid. 2.2.4 ; TF 1B_268/2019 du 25 novembre 2019 consid. 2.3).

6.2.6 Il est important de souligner que, contrairement à la banque E._______, les recourants n'étaient pas parties à la procédure d'enforcement devant la FINMA. Selon les règles de procédure, ils n'avaient donc pas le droit d'obtenir des informations ou d'intervenir dans le cadre de cette procédure.

6.3

6.3.1 En l'espèce, les buts poursuivis par les recourants sont clairement exposés dans les nombreuses écritures qu'ils ont adressées à la FINMA. Il convient de rappeler brièvement leur contenu.

Dans leur requête du 16 février 2022, ils exposent en substance avoir pris connaissance des demandes d'entraide que la FINMA a adressées au Ministère public du canton de Genève dans le cadre de la procédure pénale ouverte contre A._______ et F._______, ainsi que de l'existence d'une procédure d'enforcement dirigée contre la banque E._______ « en relation avec des faits [les] concernant ». Ils ajoutent que A._______ conteste les affirmations parues dans des sources publiques selon lesquelles il aurait entrepris des actions trompeuses, et qu'il se tient à la disposition de la FINMA pour le démontrer. Les recourants soulignent également que leurs intérêts juridiques « dans les procédures auxquelles ils participent (en Suisse et à l'étranger) seront impactés par la décision finale de la FINMA ». Ils ajoutent que c'est « en vertu de cette situation décrite ci-avant » qu'ils sollicitent la communication de leurs données personnelles en application de l'art. 8 aLPD.

Les recourants concluent leur requête en soulignant que la procédure pénale ouverte contre A._______ et F._______ progresse, une nouvelle audience étant fixée au 18 mars 2022 pour l'audition d'un cadre de la banque. Ils indiquent ainsi qu'en « vue de cette audience et de l'importance que peuvent y revêtir les informations demandées ci-dessus », ils demandent à la FINMA de bien vouloir leur remettre les données les concernant d'ici au 17 mars 2022 au plus tard.

Le 8 juin 2022, les recourants soulignent que l'examen des documents qu'ils ont déjà reçus de la FINMA « renforce les craintes déjà exprimées par Monsieur A._______ », à savoir que des « accusations graves ressortent visiblement de plusieurs documents ». Ils ajoutent que l'intéressé « conteste fermement toutes ces accusations mais ne peut se déterminer utilement sur celles-ci (et a fortiori, en solliciter la rectification) en raison du caviardage extensif des documents entrepris par [la FINMA] ». Par ailleurs, ils critiquent le refus de la FINMA de leur donner accès aux documents de la procédure d'enforcement. Selon eux, « rien ne s'oppose à ce que [ces documents], en particulier les courriers adressés par la Banque E._______ à [la FINMA], puissent [leur] être transmis, cas échéant avec un caviardage proportionné ». Ils ajoutent qu'il semble « dans l'intérêt de la procédure d'enforcement que A._______ [...], témoin coopérant aux investigations des autorités américaines, puisse prendre connaissance et le cas échéant solliciter la rectification des données qui le concernent lui et les sociétés dont il est director ».

Le 26 septembre 2022, les recourants rappellent à la FINMA « qu'ils ont sollicité l'accès à toutes les données personnelles les concernant, dès lors qu'ils craignent, sur la base des déclarations de la Banque E._______ au sénateur américain (...), que [cette dernière] transmette des informations erronées et contestées à la FINMA ». Ils ajoutent que leurs intérêts à solliciter la rectification de certaines données, qui leur permettront d'éviter que des informations incorrectes ne soient versées à la procédure pénale, doivent prévaloir.

Le 4 novembre 2022, les recourants se plaignent du caviardage trop étendu des documents effectué par la FINMA. Celui-ci ne leur permettrait pas de comprendre suffisamment le contenu des documents et les priverait de la possibilité de faire valoir utilement leurs droits, notamment celui de rectification des données. Concernant l'accès différé à des documents relatifs à des tiers, ils réitèrent que leur intérêt est « renforcé par le risque concret que des informations erronées et/ou contestées soient présentées à la FINMA par la Banque E._______, et qu'in fine, un rapport soit rédigé sur cette base et versé à la procédure pénale, voire transmise (sic) à des autorités étrangères ».

Le 18 novembre 2022, dans une lettre adressée cette fois au directeur de la FINMA, les recourants ont souligné l'intérêt évident de A._______ et des sociétés dont il est administrateur d'avoir accès aux documents de la procédure d'enforcement qui traitent de leurs données personnelles, afin de pouvoir les rectifier le cas échéant. Selon eux, A._______ dispose d'un intérêt particulier et d'un droit d'accès aux informations de cette procédure d'enforcement, ainsi que du droit de rectifier celles qui seraient erronées ou trompeuses. Ils citent à cet égard plusieurs informations émanant de la banque E._______ et figurant dans les documents qu'ils ont déjà reçus de la FINMA. Ils rappellent que ces informations sont fermement contestées et qu'elles pourraient finalement se retrouver dans le rapport de la FINMA versé à la procédure pénale, voire être transmises à des autorités étrangères. Ils estiment « qu'il va sans dire » que leur intérêt à avoir accès à leurs données personnelles traitées dans la procédure d'enforcement « avant son terme est accru ». Ils demandent donc la transmission immédiate de toutes les données personnelles les concernant, traitées par la FINMA ou par des tiers mandatés par cette dernière, en particulier dans le cadre de la procédure d'enforcement.

Le 13 décembre 2022, les recourants écrivent à la FINMA qu'au regard de l'état d'avancement de la procédure d'enforcement dirigée contre E._______, « il devient primordial qu'[ils] puissent avoir accès au rapport intermédiaire du chargé d'enquête ainsi qu'aux déterminations de E._______ à [leur] sujet afin de pouvoir prendre position sur - et le cas échéant rectifier - d'éventuelles informations les concernant ». Ils ajoutent que cet accès « se justifie davantage que la procédure d'enforcement se trouve au stade où un rapport final du chargé d'enquête n'a pas encore été rendu et qu'une décision finale de la FINMA n'a pas été publiée ». Ainsi, ils estiment que la « possibilité de rétablir toute information erronée à leur sujet doit leur être donnée immédiatement afin d'éviter que le chargé d'enquête se base sur une appréciation biaisée des faits de la cause ». Ils demandent ainsi la transmission immédiate « du rapport intermédiaire rendu par le chargé d'enquête dans le cadre de la procédure d'enforcement dirigée contre E._______ ainsi que les déterminations de la banque à son (sic) sujet », ajoutant que le caviardage des documents précités devra être réduit « à son strict minimum afin de ne pas éluder le contexte dans lequel ils s'inscrivent et qui est primordial à la compréhension des informations qui y sont traitées ».

6.3.2 Après avoir examiné le contenu des différentes écritures des recourants (cf. consid. 6.3.1 supra), le Tribunal de céans en arrive à la conclusion, pour les motifs qui seront exposés ci-dessous, que les recourants ne poursuivaient aucun but lié à la protection des données. Par conséquent, la FINMA aurait dû refuser, restreindre ou différer le droit d'accès en application de l'art. 26 al. 1 let. c LPD.

Premièrement, les recourants reconnaissent eux-mêmes qu'ils n'étaient pas parties à la procédure d'enforcement pendante devant la FINMA. Ils n'avaient donc aucun droit, selon les règles de procédure applicables, d'obtenir des informations relatives à cette procédure. Pourtant, dans leur requête du 16 février 2022, ils demandaient expressément à la FINMA de leur communiquer des documents avant une audience d'instruction qui aurait lieu devant le Ministère public du canton de Genève. Au vu de ces explications, il est évident que leur demande n'était pas motivée par la protection des données, mais par le souhait de se défendre dans le cadre d'une procédure pénale ouverte contre l'un des recourants, A._______. Selon le Tribunal de céans, il s'agit d'une utilisation détournée du droit d'accès découlant de la protection des données. La personne concernée ne saurait utiliser la LPD pour obtenir prématurément des pièces auxquelles elle n'aura accès qu'ultérieurement dans le cadre de la procédure pénale dans laquelle elle est prévenue, et ce, en application des règles de cette procédure. A ce sujet, il convient de rappeler que le Ministère public du canton de Genève et la FINMA échangeaient des informations en vertu de l'art. 38 LFINMA, ce dont les recourants avaient été informés.

Deuxièmement, un autre but des recourants, qui ressort également de leurs courriers, était d'intervenir à différents niveaux dans la procédure d'enforcement en cours, à laquelle, comme déjà rappelé, ils n'étaient pas parties. Dans leurs courriers, ils ont constamment exprimé leur contestation des affirmations de la banque E._______ dont ils avaient pu prendre connaissance dans le cadre de leur demande d'accès. Ils ont demandé que les documents en question soient caviardés au strict minimum afin de pouvoir prendre position à leur sujet, les faire rectifier avant la publication du rapport final du chargé d'enquête, la décision de la FINMA et leur transmission au dossier de la procédure pénale dans laquelle A._______ était partie. Une fois encore, les règles de procédure n'autorisaient en rien les recourants à intervenir dans le cadre de la procédure d'enforcement en cours pour accéder à ces informations et les faire rectifier avant leur transmission à l'autorité pénale. Selon le Tribunal, il s'agit également d'une utilisation détournée du droit d'accès découlant de la protection des données.

Il est évident que A._______ pouvait prendre position sur ces documents dans le cadre de la procédure pénale ouverte contre lui, et selon les règles qui lui sont applicables, comme la FINMA l'avait d'ailleurs rappelé aux recourants.

Troisièmement, il convient de relever que même une partie à la procédure d'enforcement ne dispose pas de droits procéduraux pour contester le transfert du dossier dans le cadre de la procédure administrative de surveillance. Selon la jurisprudence, ces droits doivent être exercés exclusivement dans le cadre de la procédure pénale subséquente (cf. consid. 6.2.5 supra). On ne comprendrait pas pourquoi il n'en irait pas de même pour les recourants, qui ne sont de surcroît pas parties à la procédure d'enforcement.

En résumé, les recourants ont utilisé les règles de la LPD pour obtenir des informations auxquelles ils n'avaient pas droit selon les règles de la procédure administrative. Ainsi, sous couvert d'une demande d'accès fondée sur la LPD, ils ont tenté d'obtenir des informations afin, le cas échéant, d'améliorer la position de A._______ dans le cadre de la procédure pénale parallèle dans laquelle il était prévenu. Comme indiqué précédemment, cet objectif découle de la lecture des nombreuses lettres des recourants adressées à la FINMA et est étranger à la LPD.

De plus, ils ont également utilisé le droit d'accès pour essayer d'intervenir dans la procédure d'enforcement en cours, à laquelle ils n'étaient pas parties. Leur but était d'obtenir des informations auxquelles ils n'avaient pas accès selon les règles de la procédure applicable, et de les faire rectifier avant la publication du rapport final du chargé d'enquête, la décision de la FINMA et la transmission des documents en question au dossier de la procédure pénale dans laquelle A._______ était partie. Il s'agit là aussi, de toute évidence, d'un objectif qui ne découle pas de la LPD et qui ressort également de leurs nombreuses lettres.

6.3.3 De manière générale, plusieurs indices découlant directement de l'examen des écritures des recourants permettent au Tribunal de confirmer sa conclusion selon laquelle leur requête était constitutive d'un abus de droit au sens de l'art. 26 al. 1 let. c LPD, et aurait dû être refusée, restreinte ou différée par la FINMA.

Premièrement, il ressort de l'état de fait que les requêtes des recourants ont nécessité un travail considérable de la part de la FINMA, car elles étaient très nombreuses et volumineuses. Elles ont également donné lieu à de nouvelles requêtes au fil du temps (introduction de nouveaux mots-clés pour la recherche, contestations permanentes des caviardages, etc.). Elles ont donné lieu à huit transmissions de plusieurs milliers de pages que la FINMA a dû caviarder au préalable, le droit d'accès ne portant que sur les données personnelles des recourants (cf. consid. 6.1.7 supra). Selon le Tribunal, de telles requêtes s'apparentent davantage à une « pêche aux informations » (fishing expedition) qu'à une demande d'accès motivée par un but lié à la protection des données.

Deuxièmement, depuis le dépôt de leur requête et les premières transmissions de la FINMA, les recourants n'ont cessé de se plaindre auprès de cette dernière de caviardages qu'ils estimaient excessifs et qui ne leur permettaient pas d'examiner les documents qu'elle leur avait remis, ni de demander leur rectification le cas échéant. Cet élément est déterminant et plaide en faveur de la reconnaissance d'un abus de droit. En effet, les demandes répétées des recourants démontrent qu'ils ne souhaitaient pas se limiter à la communication de leurs seules données personnelles brutes, mais qu'ils s'intéressaient davantage aux informations contextuelles. Ce but est évidemment étranger à la protection des données.

Troisièmement, au fil de la procédure, les requêtes des recourants se sont essentiellement focalisées sur la procédure d'enforcement engagée contre la banque E._______ et sur les documents émanant de cette dernière et transmis à la FINMA dans ce cadre. S'il est évident que A._______ avait un intérêt manifeste à obtenir ces documents pour se défendre dans le cadre de la procédure pénale engagée à son encontre, voire éventuellement à pouvoir les faire modifier avant leur transmission par la FINMA à l'autorité pénale, il n'avait toutefois aucun accès à ces pièces dans le cadre de la procédure d'enforcement. Vouloir y accéder par le biais de la LPD dans ce contexte particulier constituait une utilisation détournée des règles de cette loi.

6.3.4 En définitive, il est inutile d'examiner, dans le cas d'espèce, si le nouvel art. 26 al. 1 let. c LPD doit conduire à admettre plus facilement un abus de droit, comme le suggère une partie de la doctrine (cf. consid. 6.1.7 supra). En effet, même si le seuil d'abus de droit est élevé dans la pratique judiciaire suisse (cf. consid. 6.1.3 supra), l'examen des courriers des recourants montre que leur demande ne poursuivait aucun but lié à la protection de leurs données personnelles.

Il ressort de l'examen précédent que les recourants ne souhaitaient pas vérifier l'exactitude de leurs données personnelles ou le respect des principes de traitement des données, afin de faire valoir, le cas échéant, des droits fondés sur la LPD. Leurs demandes étaient motivées par la procédure pénale ouverte contre A._______, ainsi que par leur volonté de consulter des pièces auxquelles ils n'auraient pas pu accéder à ce stade, et de demander leur rectification avant qu'elles ne soient versées au dossier de la procédure pénale en question. Il est évident qu'il ne s'agit pas là d'un but poursuivi par la LPD.

Ce point de vue est confirmé par plusieurs auteurs de doctrine. L'un d'entre eux souligne en effet qu'une demande d'accès est manifestement infondée lorsqu'elle est déposée en amont d'une procédure en cours ou imminente et concerne des supports de données susceptibles d'avoir une incidence sur l'issue de la procédure (cf. consid. 6.1.7 supra). Dans le cas d'espèce, si les recourants avaient pu accéder aux informations contextuelles concernant les prises de position de la banque E._______ et obtenir le droit de les faire rectifier (un but qui, pour rappel, n'est pas protégé par la LPD), cet accès et ces rectifications auraient eu une incidence sur la procédure pénale en cours. D'autres auteurs relèvent par ailleurs qu'il peut y avoir abus de droit lorsque le droit d'accès est utilisé pour obtenir des preuves auxquelles la personne concernée n'aurait pas accès autrement (cf. consid. 6.1.7 supra). En l'espèce, il est également évident que les recourants n'avaient pas encore accès aux documents de la procédure d'enforcement, lesquels n'avaient pas encore été versés au dossier de la procédure pénale.

Dès lors que les demandes déposées par les recourants étaient constitutives d'un abus de droit, car fondées sur des buts étrangers à la LPD, la FINMA était fondée à refuser, restreindre ou différer la communication en application de l'art. 26 al. 1 let. c LPD pour ce motif.

Les recours doivent par conséquent être rejetés pour ce motif.

7. Les considérants qui précèdent conduisent le Tribunal administratif fédéral à rejeter les recours.

Vu l'issue de la cause, les frais de procédure arrêtés à 6'000 francs sont mis à la charge des recourants qui succombent, en application de l'art. 63 al. 1 PA et des art. 1 ss du Règlement du 21 février 2008 concernant les frais, dépens et indemnités fixés par le Tribunal administratif fédéral (FITAF, RS 173.320.2). Les frais de procédure sont prélevés sur les avances de frais déjà versées d'un montant identique. Une indemnité à titre de dépens n'est allouée ni aux recourants (art. 64 al. 1 PA a contrario et art. 7 al. 1 FITAF a contrario) ni à l'autorité inférieure (art. 7 al. 3 FITAF).

(Le dispositif de l'arrêt se trouve à la page suivante.)

Par ces motifs, le Tribunal administratif fédéral prononce :

1. Les recours sont rejetés.

2. Les frais de procédure de 6'000 francs sont mis à la charge des recourants. Ils sont prélevés sur les avances de frais déjà versées, d'un montant équivalent.

3. Il n'est pas alloué de dépens.

4. Le présent arrêt est adressé aux recourants et à l'autorité inférieure.

L'indication des voies de droit se trouve à la page suivante.

La présidente du collège : Le greffier : Claudia Pasqualetto Péquignot Jérôme Gurtner

Indication des voies de droit :

La présente décision peut être attaquée devant le Tribunal fédéral, 1000 Lausanne 14, par la voie du recours en matière de droit public, dans les trente jours qui suivent la notification (art. 82 ss, 90 ss et 100 LTF). Ce délai est réputé observé si les mémoires sont remis au plus tard le dernier jour du délai, soit au Tribunal fédéral soit, à l'attention de ce dernier, à La Poste Suisse ou à une représentation diplomatique ou consulaire suisse (art. 48 al. 1 LTF). Le mémoire doit être rédigé dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signé. La décision attaquée et les moyens de preuve doivent être joints au mémoire, pour autant qu'ils soient en mains de la partie recourante (art. 42 LTF).

Expédition :

Le présent arrêt est adressé :

•    aux recourants (Acte judiciaire) 
  

•    à l'autorité inférieure (n° de réf. [...] ; Acte judiciaire)