ACJC/1543/2017

A.

Par jugement JTPI/6512/2017 du 17 mai 2017, le Tribunal de première instance (ci-après : le Tribunal) a fait interdiction à A______ de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, dans le cadre du programme du Department of Justice visant au règlement du différend fiscal entre les banques suisses et les Etats-Unis d'Amérique ("Program for Non-Prosecution Agreement or Non Target Letters for Swiss Banks"), des données concernant B______ ou toute autre information pouvant mener un tiers à l'identifier (chiffre 1 du dispositif), prononcé l'interdiction visée au chiffre 1 ci-dessus sous la menace de la peine prévue par l'article 292 CP qui prévoit que "celui qui ne se sera pas conformé à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents, sera puni de l'amende" (ch. 2), arrêté les frais judiciaires à 2'200 fr., mis à la charge d'A______, compensés avec l'avance fournie par B______, et condamné A______ à verser à B______ la somme de 2'200 fr. au titre de remboursement de frais judiciaires (ch. 3), condamné A______ à verser à B______ la somme de 5'000 fr. à titre de dépens (ch. 4) et débouté les parties de toutes autres conclusions (ch. 5).

En substance, le Tribunal a considéré que la communication transfrontalière des données litigieuses ne pouvait être autorisée qu'à condition de se fonder sur l'un des motifs justificatifs prévus à l'art. 6 al. 2 de la loi sur la protection des données (LPD), les Etats-Unis ne disposant pas d'une législation assurant un niveau de protection adéquat. En l'occurrence, la banque ne démontrait pas qu'un tel motif était réalisé, notamment que la communication des données litigieuses répondrait à un intérêt public prépondérant. Elle n'apportait pas d'élément concret permettant de considérer que cette communication était indispensable pour éviter un risque de faillite, trop ténu pour être pris en considération. Elle ne démontrait pas non plus jouer en Suisse un rôle majeur sur les marchés primaire et secondaire. Il n'était pas établi que la communication permettrait de sauvegarder l'image de la place financière suisse, ni qu'en l'absence d'une telle communication la banque risquait de rendre caduc le Non Prosecution Agreement qu'elle avait conclu avec les autorités américaines, ou a fortiori de remettre en cause le programme américain pour l'ensemble des banques suisses concernées. B______ conservait pour sa part un intérêt important à ce que les données la concernant ne soient pas transmises, du seul fait que dite transmission vers un pays n'assurant pas un niveau de protection adéquat constituait per se une atteinte grave à la personnalité de la personne ou de l'entité concernée. L'envoi de données exposerait celle-ci à un risque réputationnel manifeste, ainsi qu'à celui d'une entrave concrète à la liberté de mouvement de ses dirigeants et employés, lesquels seraient aisément identifiables. De plus, la banque n'avait pas apporté la preuve stricte de ce que les autorités américaines seraient déjà en possession des informations qu'elle entendait lui transmettre. Enfin, il appartenait à la banque d'établir non seulement l'existence d'un intérêt public prépondérant, mais également que la transmission des données était indispensable pour préserver cet intérêt, et non à B______ de démontrer le caractère prépondérant de son intérêt privé à ce que ses données ne soient pas transmises aux Etats-Unis. La communication des données litigieuses aux Etats-Unis demeurait dès lors illicite et justifiait de prononcer l'interdiction sollicitée.

B.

a. Par acte expédié le 22 juin 2017 à la Cour, A______ forme appel contre ce jugement, dont elle sollicite l'annulation. Cela fait, elle conclut au déboutement de B______ de toutes ses conclusions, sous suite de frais et dépens.

b. Par réponse du 14 septembre 2017, B______ conclut à la confirmation du jugement entrepris, au déboutement d'A______ de toutes ses conclusions, et à la condamnation de celle-ci à payer tous les frais judiciaires et les dépens.

Elle produit des pièces nouvelles.

c. Les parties ont été informées par courrier du greffe de la Cour du 16 octobre 2017 de ce que la cause était gardée à juger.

C.

Les faits suivants ressortent du dossier soumis à la Cour :

a. A______ (ci-après : A______ ou "la Banque"), avec siège à 1______, exploite une banque. Elle dispose de succursales à ______.

Ses activités principales relèvent du private banking et de la gestion d'actifs.

b. B______ est une société sise à 2______ (______), qui administre des sociétés de domicile, dont elle est organe.

c. Dès 2008, les autorités américaines se sont intéressées aux établissements bancaires suisses suspectant certains d'entre eux, de par leurs activités transfrontalières, d'avoir aidé les clients de nationalité américaine ou les résidents américains à éluder l'impôt américain.

En 2010, le Ministère de la justice des Etats-Unis (U.S. Department of Justice : ciaprès : DoJ) et l'autorité américaine de réglementation et de contrôle des marchés financiers (U.S. Securities and Exchange Commission, ci-après : SEC) ont ouvert des enquêtes contre onze banques suisses et déposé en Suisse des demandes d'entraide administrative en vue d'obtenir des renseignements sur les activités transfrontalières aux Etats-Unis menées par lesdites banques.

Dans ce cadre, les autorités américaines ont sollicité une collaboration totale des établissements bancaires concernés et la livraison de toutes les données dont elles disposaient, étant précisé qu'elles poursuivaient les banques sous le chef d'inculpation de conspiration contre les Etats-Unis.

d. Le 20 juin 2013, le Préposé fédéral à la protection des données (ci-après : le Préposé) a émis une note à l'attention des banques récapitulant les principes de la LPD à observer en cas de transmission de données personnelles d'employés et de tiers aux autorités américaines.

Il a notamment relevé que si une personne concernée s'opposait à ce qu'une banque transmette des documents contenant son nom, la banque devait peser les intérêts en présence dans le cas concret. Elle devait alors, en vertu de l'art. 13 LPD, faire valoir des motifs justificatifs pour pouvoir procéder à la transmission et devait, par ailleurs, remplir les conditions de l'art. 6 LPD pour pouvoir transmettre des données dans un pays ne disposant pas d'une législation assurant un niveau de protection adéquat.

e. Le 3 juillet 2013, le Conseil fédéral a fixé les principes de coopération des banques suisses avec les autorités américaines en vue de régler le différend fiscal et a donné aux banques la possibilité de demander une autorisation individuelle au sens de l'article 271 CP.

La décision modèle précisait notamment que l'intérêt de la banque à coopérer avec les autorités américaines était important. La collecte et la transmission des renseignements visaient à éviter une plainte du DoJ à l'encontre de la banque. Pour celle-ci, le dépôt d'une plainte aurait des conséquences majeures sur ses relations économiques avec les Etats-Unis. La banque risquait de ne plus pouvoir effectuer des transactions en dollars américains. Les problèmes opérationnels et financiers qui résulteraient d'une telle situation pourraient nuire considérablement à la banque, voire menacer son existence.

La décision énonçait également que l'autorisation prévue à l'article 271 ch. 1 CP excluait uniquement une punissabilité en vertu de cette disposition. Elle ne dispensait pas du respect des autres dispositions du droit suisse, notamment de la prise en compte du secret d'affaires et du secret bancaire existants, des dispositions sur la protection des données et des obligations de l'employeur. L'autorisation ne permettait donc aux banques de coopérer avec les autorités américaines que dans le cadre de la législation suisse. Lors de la pesée des intérêts, il y avait lieu de tenir compte des droits de la personnalité des actuels et anciens membres du personnel de la banque, ainsi que des tiers potentiellement concernés, en prévoyant une obligation d'informer et un droit d'obtenir des renseignements. Des devoirs d'assistance étendus et une protection appropriée contre la discrimination devaient de plus être prévus pour les actuels et les anciens membres du personnel.

f. Le 29 août 2013, la Suisse et les Etats-Unis ont signé une déclaration commune par laquelle les deux gouvernements se sont engagés à faire le nécessaire pour mettre un terme à leur différend fiscal.

Le DoJ a mis à la disposition des banques suisses un programme volontaire (ci-après : US Program) de coopération avec les autorités américaines et de transmission d'informations leur permettant de régulariser leur situation et d'obtenir un Non-Prosecution Agreement (accord de renonciation à des poursuites pénales) ou une Non-Target Letter (déclaration de mise hors de cause) de la part du DoJ.

Le programme volontaire - qui ne s'appliquait pas aux individus - classait les banques suisses dans quatre catégories. Les banques qui faisaient l'objet d'une enquête pénale du DoJ étaient formellement exclues dudit programme (catégorie 1). Les autres banques pouvaient se mettre à l'abri de poursuites pénales en échange de leur participation, soit en concluant un Non-Prosecution Agreement (NPA) si elles estimaient avoir violé le droit fiscal américain (catégorie 2), soit en sollicitant une Non-Target Letter si elles estimaient que tel n'était pas le cas, ou si leur activité était purement locale (catégories 3 et 4).

Afin d'obtenir un Non-Prosecution Agreement, l'établissement bancaire concerné devait coopérer et fournir l'ensemble des preuves et informations requises aux termes du programme en lien avec ses activités transfrontalières aux Etats-Unis et certains comptes présentant un indice d'américanité (US Related Accounts) ouverts dans ses livres au 1er août 2008 et clôturés depuis lors (Closed US related Account(s)). Les indices à prendre en considération étaient définis de manière très large et englobaient des éléments allant au-delà de la simple nationalité ou résidence, comme également le lieu de naissance, un numéro de téléphone, un ordre de virement permanent sur un compte aux Etats-Unis, une procuration ou un droit de signature en faveur d'une personne dont l'adresse est située aux Etats- Unis, la présence d'un seul indice étant par ailleurs réputée suffisante.

Selon le paragraphe II.D.1 du programme, les banques de catégorie 2 devaient communiquer au DoJ le nom et la fonction de leurs employés ou ex-employés et organes ayant structuré, géré ou supervisé les actions transfrontalières de la banque en lien avec les Etats-Unis, et selon le paragraphe II.D.2, le nom et la fonction de toute personne, dont ses employés ou ex-employés, ayant été en relation avec un Closed US related Account. Cette deuxième catégorie de renseignements devait être uniquement mentionnée dans un document synthétique offrant une simple vue d'ensemble des comptes avec indications des dates d'ouverture et de clôture de compte, le montant en compte, le nombre de personnes américaines en lien avec la relation, les différents intervenants et les transferts intervenus.

Enfin, à condition que la banque concernée respecte l'ensemble des obligations définies par le US Program, le DoJ ne la poursuivrait pas en justice pour les infractions fiscales en lien avec les Us Related Accounts qui se trouvaient en ses livres, mais le DoJ se réservait le droit de refuser de conclure un NPA ou de revenir sur les termes de celui-ci s'il estimait que la banque avait fourni des informations fausses, incomplètes ou pouvant l'induire en erreur.

g. L'autorité de surveillance des marchés financiers (FINMA) a adressé un courrier aux banques suisses le 30 août 2013, par lequel elle indiquait qu'il appartenait à chaque banque de mesurer de manière appropriée les potentiels risques juridiques et de réputation qu'entraînerait une non-participation au Programme américain et d'en tenir compte dans leur processus de décision qui devrait être documenté.

Elle a ajouté que les banques participant au programme américain étaient tenues de respecter le droit suisse et notamment les réglementations relatives à la protection des secrets d'affaires et bancaires en vigueur, ainsi que la législation sur la protection des données.

h. Le 26 février 2014, le Procureur général adjoint au sein du DoJ a déclaré devant une sous-commission du Sénat américain que le programme excluait expressément les individus. Il n'offrait en particulier aucune sorte de protection ou immunité aux banquiers suisses ou tiers (conseillers professionnels). Le DoJ avait pour mission de poursuivre les institutions financières qui facilitaient l'évasion fiscale transfrontalière, les personnes qui s'étaient soustraites à leurs obligations fiscales ainsi que les banquiers, comptables, avocats et autres professionnels qui y avaient contribué. Il a ajouté que grâce au programme mis en œuvre, le DoJ comptait recueillir auprès des banques nombre d'informations permettant de poursuivre pénalement leurs employés et les tiers.

i. A______ a décidé de participer au programme volontaire en qualité de banque de catégorie 2. Par décisions des 24 janvier 2014 et 2 février 2015, reprenant les termes de la décision modèle du 3 juillet 2013, le Département fédéral des finances (DFF) l'a autorisée à coopérer avec les autorités américaines.

j. Le 4 janvier 2016, la Banque a conclu un Non Prosecution Agreement avec le DoJ par lequel elle a notamment accepté de s'acquitter d'une amende de USD 3______ en faveur du DoJ.

En échange du paiement de cette amende, le DoJ s'est engagé à n'entreprendre aucune démarche supplémentaire afin d'obtenir des pénalités additionnelles de la part d'A______, cet engagement étant toutefois conditionné au respect par cette dernière des termes du NPA, ainsi que du US Program. En vertu de cet accord, A______ était également tenue de continuer à collaborer pendant quatre ans avec les autorités américaines. Dans ce cadre, les informations dont la transmission était prévue au chiffre II.D.2 du programme américain continuaient, selon les termes du NPA, à être requises.

k. Dans l'intervalle, par courrier du 11 mai 2015, A______ a informé B______ qu'elle participait au programme américain et qu'elle envisageait de communiquer aux autorités américaines sa raison sociale et sa fonction apparaissant en lien avec des comptes présentant un lien d'américanité (US Related Account).

Dans ce courrier, la Banque indiquait à B______ qu'elle pouvait demander à consulter lesdites données. Dans l'hypothèse où elle s'opposait à la transmission de ses données, ses objections motivées à une communication aux autorités américaines devaient parvenir à la Banque dans un délai de vingt jours.

l. Selon les pièces produites, les données que la Banque souhaitait transmettre aux autorités américaines consistaient en la "Liste II.D.2". Sur cette liste, la raison sociale de B______ figurait en qualité de authorized signatory/power of attorney en lien avec sept comptes clos entre 2009 et 2010 détenus par des sociétés de

S'agissant de ces sept comptes, B______ a expliqué au Tribunal avoir fourni des sociétés de domicile à des clients, sociétés qui détenaient des comptes auprès A______, dont la gestion était confiée à C______. Elle était organe de ces sociétés de domicile. Elle agissait donc comme director ou simple fondé de procuration, mais non comme propriétaire des fonds ni intermédiaire financier. Son rôle était essentiellement administratif. Elle n'agissait que sur instructions de l'ayant droit économique ou du tiers gérant. Elle n'avait ni organisé, ni suivi, ni surveillé les comptes concernés, mais n'avait exercé qu'une activité accessoire. Elle ne disposait d'aucun mandat de gestion sur ces comptes, ni d'aucun pouvoir discrétionnaire. Son activité consistait à représenter les sociétés détentrices des comptes lors de l'ouverture, l'exécution et la transmission d'instructions données par les clients ou le tiers gérant indépendant, à savoir C______, et, le cas échéant, lors de la clôture.

Le représentant de la Banque, quant à lui, a confirmé que C______ était le tiers gérant pour les sept relations visées.

m. Il est admis que les clients concernés par ces sept comptes ont participé à la procédure de Voluntary disclosure. B______ conteste que son nom ait été transmis aux autorités américaines dans ce cadre.

Elle a exposé au Tribunal qu'elle avait pu vérifier que les clients s'étaient effectivement régularisés par le biais de la Voluntary disclosure, mais n'avait toutefois pas pu consulter leurs dossiers. Elle ignorait donc si son nom avait été transmis aux autorités américaines dans ce cadre.

D'après A______, tous les comptes en question avaient fait l'objet de Voluntary disclosure, de sorte que les données de B______ avaient probablement d'ores et déjà été transmises.

n. Par courrier du 22 mai 2015, B______ a annoncé à la Banque qu'elle s'opposait à toute transmission de données la concernant. Elle avait offert ses services aux mêmes clients que C______. En conséquence, les assurances données par la Banque à cette dernière, selon lesquelles ses données ne seraient pas transmises aux autorités américaines sans son accord préalable, devaient valoir pour elle également.

Le représentant de la Banque a exposé qu'une liste avait également été établie en lien avec les sept comptes litigieux concernant C______, mais n'avait pas encore été transmise en raison de l'opposition de la société. L'opposition de C______ n'était en revanche pas formelle, raison pour laquelle la procédure était différente. La raison sociale de C______ pourrait être transmise aux autorités américaines. En revanche, il était exact que le nom des intervenants en tant que personnes ne serait pas transmis.

Le représentant de B______ a contesté cette dernière déclaration. Selon lui, l'engagement de la Banque de s'abstenir de transmettre visait tant les individus que la raison sociale de C______.

B______ a en outre expliqué au Tribunal qu'il existait un risque réputationnel en cas de transmission des données litigieuses. Le simple fait d'être sur une liste était un risque vis-à-vis des clients, et donc constitutif d'un préjudice.

D'après A______, en tant que structure offshore avec siège social au 2______, l'on discernait difficilement en quoi la communication de sa raison sociale et de sa qualité de signataire de comptes pouvait l'affecter économiquement.

o. Le 27 mai 2015, A______ a indiqué à B______ qu'elle prenait note de son objection à la transmission de ses données et qu'elle lui ferait part de sa position après examen du dossier.

p. En date du 7 juillet 2015, B______ a demandé à A______ la remise d'une copie des documents dont la transmission était envisagée.

Les documents requis ont été fournis par la Banque à B______ par courrier du 7 août 2015.

q. Par courrier du 3 novembre 2015, A______ a informé B______ que, après avoir procédé à une pesée des intérêts, elle estimait que des intérêts privés et publics prépondérants justifiaient ce transfert d'informations. En outre, les clients fiscalisés aux Etats-Unis participant à une procédure de Voluntary disclosure étant tenus d'indiquer aux autorités américaines l'identité des conseillers financiers étrangers les ayant assistés dans l'administration ou la gestion de leurs fonds, il n'était pas impossible que les autorités américaines connaissent déjà l'identité de B______. En conséquence, la Banque lui impartissait un délai de dix jours pour intenter une action, à défaut de quoi les données seraient transmises.

D.

a. Par acte déposé en conciliation au greffe du Tribunal le 13 novembre 2015 et introduit le 25 mai 2016, B______ a conclu, avec suite de frais et dépens, à ce qu'il soit fait interdiction à A______, sous la menace de la peine prévue par l'article 292 CP, de transmettre, de communiquer ou de porter à la connaissance de tiers, notamment le DoJ, des données la concernant ou toute autre information pouvant mener un tiers à l'identifier.

b. Dans son mémoire réponse du 27 septembre 2016 A______ a conclu principalement au déboutement de B______ de toutes ses conclusions, avec suite de frais et dépens. Subsidiairement, elle a conclu à ce qu'il soit dit et jugé que l'interdiction faite à A______ de communiquer ou porter à la connaissance de tiers ou d'Etat tiers des données concernant B______ ne déploie d'effet qu'en relation avec le programme du Department of Justice, visant au règlement du différend fiscal entre les banques suisses et les Etats-Unis d'Amérique ("Program for Non- Prosecution Agreements or Non Target Letters for Swiss Banks") et pas en relation avec la transmission de données de manière générale si elle était requise par une autorité judiciaire ou administrative suisse notamment l'Administration fédérale des contributions (AFC).

c. Le 24 janvier 2017, le Tribunal a procédé à l'audition des parties, dont les déclarations ont été reprises ci-dessus, dans la mesure utile.

d. Lors de l'audience de plaidoiries finales du 10 mars 2017, les parties ont plaidé et persisté dans leurs conclusions respectives.

A l'issue de l'audience, le Tribunal a gardé la cause à juger.

e. Entre temps, le 11 janvier 2017, le Préposé a publié une communication relative à la mise en place d'un nouveau cadre pour la transmission de données personnelles de la Suisse vers les Etats-Unis.

Intitulé Privacy Shield, ce cadre a pour but de renforcer l'application des principes de protection des données par les entreprises participantes et d'améliorer la gestion et la surveillance par les autorités américaines. Le Préposé précise que grâce au Privacy Shield, les données personnelles exportées de la Suisse vers les Etats-Unis bénéficient des mêmes normes que celles provenant de l'Union européenne, ce qui constitue un point fondamental pour la sécurité juridique des échanges économiques.

Le Préposé est d'avis que la mise en place de ce nouveau cadre permet de garantir un niveau de protection adéquat. Il a ajusté en conséquence la liste des Etats qu'il est tenu de publier en vertu de l'art. 7 de l'Ordonnance relative à la loi fédérale sur la protection des données (OLPD). Celle-ci énonce désormais à propos des Etats- Unis d'Amérique que les organismes qui adhèrent au Privacy Shield pour les données provenant de Suisse et qui figurent sur la liste du Département américain du commerce garantissent un niveau de protection adéquat au sens de l'art. 6 al. 1 LPD.

Le Département américain du commerce a publié sur son site internet une liste des organismes certifiés selon le Privacy Shield, laquelle comprenait 1962 entreprises au 6 avril 2017. Le DoJ ne fait pas partie de ces organismes.