POUVOIR JUDICIAIRE
C/26915/2014 ACJC/1733/2016
ARRÊT
DE LA COUR DE JUSTICE
Chambre civile
du MERCREDI 21 DECEMBRE 2016
Entre
A______ SA, ayant son siège rue ______, ______, _____ Genève, appelante d'un jugement rendu par la 8ème Chambre du Tribunal de première instance de ce canton le 18 mars 2016, comparant par Me Fabio Spirgi, avocat, rue Ferdinand-Hodler 15, case postale 6090, 1211 Genève 6, en l'étude duquel elle fait élection de domicile,
et
B______ SA, ayant son siège rue _____, _____ Genève, intimée, comparant par Me Pierluca Degni, avocat, route de Chêne 11, case postale 6009, 1211 Genève 6, en l'étude duquel elle fait élection de domicile.
EN FAIT
A. a. Par jugement du 18 mars 2016, notifié aux parties le 22 mars suivant, le Tribunal de première instance a déclaré irrecevable la conclusion reconventionnelle subsidiaire de A______ SA (A______ LTD, ci-après : A______ ou la banque), à ce que le Tribunal dise que l'interdiction faite à A______ de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers des données concernant B______ SA ou de ses organes, ne déploie d'effet qu'en relation avec le programme du Department of Justice, visant au règlement du différend fiscal entre les banques suisses et les Etats-Unis ("Program for Non-Prosecution Agreements or Non Target Letters for Swiss Banks") et pas en relation avec la transmission de données de manière générale si elle est requise par une autorité judiciaire ou administrative suisse, notamment l'Administration fédérale des contributions (AFC) (ch. 1 du dispositif). Il a ensuite dit que le fait pour A______ de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, informations ou documents comportant le nom et/ou des données ou informations relatives à B______ SA et/ou pouvant l'identifier, constitue une atteinte illicite aux droits de la personnalité de B______ SA (ch. 2), interdit en conséquence à A______ de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, informations ou documents comportant le nom et/ou des données ou informations relatives à B______ SA et/ou pouvant l'identifier (ch. 3), prononcé cette interdiction sous la menace de la peine de l'art. 292 CP qui dispose que celui qui ne se sera pas conformé à une décision à lui signifiée, sous la menace de la peine prévue audit article, par une autorité ou un fonctionnaire compétents, sera puni de l'amende (ch. 4), mis les frais judiciaires, arrêtés à 10'000 fr., à la charge de A______, les a compensés avec l'avance fournie par B______ SA à hauteur de 2'000 fr., condamné A______ à verser un montant de 2'000 fr. à B______ SA et 8'000 fr. à l'Etat de Genève, soit aux Services financiers du Pouvoir judiciaire (ch. 5), condamné A______ à verser à B______ SA 10'000 fr. à titre de dépens (ch. 6) et débouté les parties de toutes autres conclusions (ch. 7).
b. Par acte déposé au greffe de la Cour de justice le 20 avril 2016, A______ appelle de ce jugement, dont elle sollicite l'annulation, concluant au rejet de l'action formée par sa partie adverse en vue d'interdire une atteinte à sa personnalité. Subsidiairement, elle demande à ce qu'il soit dit et jugé que l'interdiction prononcée ne déploie d'effet qu'en relation avec le programme du Department of Justice, visant au règlement du différend fiscal entre les banques suisses et les Etats-Unis ("Program for Non-Prosecution Agreements or Non Target Letters for Swiss Banks") et pas en relation avec la transmission de données de manière générale si elle est requise par une autorité judiciaire ou administrative suisse notamment l'AFC.
c. B______ SA conclut au rejet de l'appel et à la confirmation du jugement entrepris.
B. Les éléments pertinents suivants ressortent de la procédure :
a. A______ est une société anonyme qui exploite une banque à Genève, où elle a son siège.
b. B______ SA, société active dans la gestion de fortune, agit en qualité de gérant externe pour divers clients dont les avoirs sont ou ont été déposés auprès de A______.
Dans ce cadre, elle a été en charge de la gestion d'un compte appartenant à une ressortissante américaine, domiciliée aux Etats-Unis, qui a présenté un solde maximal de 3'949'098 $ et qui était déclaré auprès de l'IRS (Internal Revenue Service), soit le fisc américain. Elle a également géré deux autres comptes ayant pour titulaire une société panaméenne, dont les ayants-droit économiques étaient un frère et une soeur.
c. Dès 2008, les autorités américaines se sont intéressées aux établissements bancaires suisses, suspectant certains d'entre eux, de par leurs activités transfrontalières, d'avoir aidé les clients de nationalité américaine ou les résidents américains à éluder l'impôt américain.
En 2010, le Ministère de la justice des Etats-Unis (U.S. Department of Justice, ci-après : DoJ) et l'autorité américaine de réglementation et de contrôle des marchés financiers (U.S. Securities and Exchange Commission, ci-après : SEC) ont ouvert des enquêtes contre onze banques suisses et déposé en Suisse des demandes d'entraide administrative en vue d'obtenir des renseignements sur les activités transfrontalières aux Etats-Unis menées par lesdites banques.
A fin 2013, quatorze enquêtes pénales étaient ouvertes par le DoJ à l'encontre de différentes banques, appelés les banques de catégorie 1.
Dans ce cadre, les autorités américaines ont sollicité une collaboration totale des établissements bancaires concernés et la livraison de toutes les données dont elles disposaient, leur permettant d'examiner la situation, étant précisé qu'elles poursuivaient les banques sous le chef d'inculpation de conspiration contre les Etats-Unis.
Depuis lors, certaines de ces banques de catégorie 1 ont conclu des accords avec les autorités américaines (Deferred Prosecution Agreement), par lesquelles elles reconnaissaient avoir violé le droit américain, s'engagaient à livrer certaines données concernant les clients, à continuer à collaborer avec les autorités américaines et ont payé, dans ce contexte, des sommes importantes de plusieurs centaines de millions de dollars aux Etats-Unis à titre de dommages-intérêts et/ou d'amende.
d. Le 14 février 2013, les autorités suisses et américaines ont signé un accord, entré en vigueur le 2 juin 2014, visant à faciliter la mise en oeuvre par les établissements financiers suisses de la loi fiscale américaine (Foreign Account Tax Compliance Act, ci-après : FATCA). La loi d'application est entrée en vigueur le 30 juin 2014. Cet accord exige des établissements financiers étrangers qu'ils s'enregistrent auprès de l'IRS et qu'ils concluent un contrat avec celle-ci (FFI Agreement) afin que les renseignements sur les comptes des personnes soumises à l'impôt aux Etats-Unis lui soient transmis, soit directement par l'établissement financier avec le consentement du titulaire du compte, soit, en l'absence d'un tel consentement, par l'intermédiaire d'une procédure d'assistance administrative spécialement réglementée reposant sur des demandes groupées.
e. Dans son message du 29 mai 2013, le Conseil fédéral a soumis pour adoption au Parlement suisse un projet de Loi fédérale sur des mesures visant à faciliter le règlement du différend fiscal entre les banques suisses et les Etats-Unis (ci-après : lex USA).
Ce projet prévoyait notamment que les banques étaient autorisées à respecter toutes les exigences liées à la coopération entre les banques et les Etats-Unis en vue de régler le différend fiscal. Cette autorisation incluait les renseignements sur des relations d'affaires impliquant une personne américaine au sens de l'accord du 14 février 2013 visant à faciliter la mise en oeuvre du FATCA, y compris le nom et la fonction des personnes qui, au sein de la banque, avaient organisé, suivi ou surveillé ces relations d'affaires, ainsi que le nom et la fonction de tiers ayant agi de manière semblable avec ces relations d'affaires.
Le Parlement suisse a, le 19 juin 2013, refusé d'entrer en matière sur la lex USA, en considérant qu'il appartenait au Conseil fédéral de trouver des solutions dans le cadre du droit en vigueur.
f. Le 20 juin 2013, le Préposé fédéral à la protection des données (ci-après : PFPDT) a émis une note à l'attention des banques récapitulant les principes de la Loi sur la Protection des données (ci-après : LPD) à observer en cas de transmission de données personnelles d'employés et de tiers aux autorités américaines. Il a notamment relevé les éléments suivants :
"Principe de proportionnalité : en vertu de ce principe, seules peuvent être traitées les données nécessaires à l'atteinte d'un but précis (art. 4 al. 2 LPD). Le PFPDT estime que cette définition s'applique aux personnes ayant organisé, suivi ou surveillé des relations d'affaires concernant des personnes américaines.
Motifs justificatifs : si une personne concernée s'oppose à ce que la banque transmette des documents contenant son nom, la banque doit peser les intérêts en présence dans le cas concret. Elle doit alors, en vertu de l'article 13 LPD, faire valoir des motifs justificatifs pour pouvoir procéder à la transmission et doit, par ailleurs, remplir les conditions de l'article 6 LPD pour pouvoir transmettre des données dans un pays ne disposant pas d'une législation assurant un niveau de protection adéquat.
Prétentions : si, après avoir pesé les intérêts en présence, la banque décide de transmettre des données contre la volonté de la personne concernée, cette dernière peut intenter une action en protection de la personnalité auprès d'un tribunal civil, conformément à l'article 15 LPD."
g. Le 3 juillet 2013, le Conseil fédéral a fixé les principes de coopération des banques suisses avec les autorités américaines en vue de régler le différend fiscal et a donné aux banques la possibilité de demander une autorisation individuelle au sens de l'art. 271 CP.
Il a publié une décision modèle, ainsi qu'une note explicative à l'attention des banques qui participeraient au programme volontaire du DoJ et feraient une demande d'autorisation au sens de l'art. 271 CP ou qui avaient déjà obtenu une autorisation le 4 avril 2012, laquelle devrait être remplacée par une nouvelle autorisation.
La décision modèle précise notamment :
"La collecte et la transmission de renseignements aux autorités américaines du fait des relations d'affaires de la banque qui a requis l'autorisation avec des personnes assujetties à l'impôt aux Etats-Unis et en lien avec une possible violation du droit américain ne constituent pas des atteintes excessives à la souveraineté de la Suisse. En outre, l'intérêt de la banque à coopérer avec les autorités américaines est important. En fin de compte, la collecte et la transmission des renseignements vise à éviter une plainte du DoJ à l'encontre de la banque. Pour celle-ci, le dépôt d'une plainte aurait des conséquences majeures sur ses relations économiques avec les Etats-Unis. La banque risque de ne plus pouvoir effectuer des transactions en dollars américains. Les problèmes opérationnels et financiers qui résulteraient d'une telle situation pourraient nuire considérablement à la banque, voire menacer son existence.
L'autorisation prévue à l'article 271 ch. 1 CP exclut uniquement une punissabilité en vertu de cette disposition. Elle ne dispense cependant pas du respect des autres dispositions du droit suisse, notamment de la prise en compte du secret d'affaires et du secret bancaire existants, des dispositions sur la protection des données et des obligations de l'employeur. L'autorisation ne permet donc aux banques de coopérer avec les autorités américaines que dans le cadre de la législation suisse.
Lors de la pesée des intérêts, il y a lieu de tenir compte des droits de la personnalité des actuels et anciens membres du personnel de la banque, ainsi que des tiers potentiellement concernés en prévoyant une obligation d'informer et un droit d'obtenir des renseignements. Des devoirs d'assistance étendus et une protection appropriée contre la discrimination doivent de plus être prévus pour les actuels et les anciens membres du personnel. [...]
La présente autorisation n'englobe pas les données de clients. Celles-ci peuvent être transmises uniquement par la voie de l'assistance administrative."
h. Le 29 août 2013, le Conseil fédéral et le DoJ ont trouvé un accord visant à mettre un terme au différend fiscal entres les banques suisses et les Etats-Unis.
La solution trouvée se compose de trois éléments, la déclaration commune (Joint Statement) signé entre le Conseil fédéral et le DoJ, le programme volontaire américain auquel les banques peuvent participer dans un délai donné et l'autorisation modèle du Conseil fédéral du 3 juillet 2013 régissant la coopération des banques avec les autorités américaines.
Le Joint Statement a notamment la teneur suivante :
"1. The DoJ has been and continues to be engaged in law enforcement action against individuals and entities that use foreign bank accounts to evade U.S. taxes and reporting requirements, and individuals and entities that facilitate the evasion of U.S. taxes and reporting requirements. In announcing today the Program for Swiss banks the DoJ intends to provide a path for Swiss Banks that are not currently the target of a criminal investigation authorized by the DoJ, Tax Division, to obtain resolution concerning their status in connection with the Department's overall investigations, and to assist the DoJ in its law enforcement efforts. The Program does not apply to individuals and is not available to any Swiss bank as to which the Tax Division has authorized a formal criminal investigation concerning its operations.
Switzerland welcomes the efforts of the DoJ to provide the Program and intends to draw the attention of the Swiss Banks to the terms of the Program and encourages them to consider participating therein. Switzerland notes that the Swiss Parliament by Declaration of 19 June 2013 stated its expectation that the Swiss Federal Council will take all measures within existing legal framework to put Swiss banks in a position to cooperate with the DoJ. Switzerland represents that applicable Swiss law will permit effective participation by the Swiss Banks on the terms set out in the Program.
Switzerland intends to process treaty requests according to the Convention between the United States of America and the Swiss Confederation for the Avoidance of Double Taxation with Respect to Taxes on Income, signed at Washington on October 2, 1996, and the Protocol Amending the Convention, signed at Washington on Septembre 23, 2009, if and when it is in force and applicable, as may be amended, and intends to do so on an expedited basis, including by providing additional personnel and the other necessary resources to process the requests.
Noting the importance attached by both sides to providing a high level of personal data and privacy protection for all individuals as provided in their laws, the signatories understand that, if personal data are provided, they should only be used for purposes of law enforcement (which may include regulatory action) in the United States or as otherwise permitted by U.S. law. Personal data should only be retained for so long as necessary for these purposes."
Le programme volontaire américain classe les banques suisses dans quatre catégories. Les banques qui font l'objet d'une enquête pénale du DoJ sont formellement exclues dudit programme (catégorie 1). Les autres banques qui estiment avoir violé le droit fiscal américain peuvent se mettre à l'abri de poursuites pénales en échange de leur participation, en concluant un Non-Prosecution Agreement (catégorie 2). Celles qui, au contraire, estiment ne pas avoir violé le droit fiscal américain ou qui ont une activité purement locale, peuvent solliciter un Non-Target Letter (catégories 3 et 4).
Le Programme américain précisait notamment:
"The terms of a Non-Prosecution Agreement will include that the Swiss Bank agrees to retain all records relating to its U.S. cross-border business, including records relating to all U.S. Related Accounts closed during the Applicable Period, for a period of 10 years from the termination date of the Non-Prosecution Agreement.
The terms of a Non-Prosecution Agreement will included that the Swiss Bank, upon request, will provide: testimony of a competent witness or information as needed to enable the United States to use the information and evidence obtained pursuant to a provision of this Program or separate treaty request in any criminal or other proceeding.
The personal data provided by the Swiss Banks under this Program will be used and disclosed only for purposes of law enforcement (which may include regulatory action) in the United States or as otherwise permitted by U.S. law.
This program is conditioned on the intention of Switzerland, as stated in the Joint Statement between the DoJ and the Swiss Federal Department of Finance dated August 29, 2013, to encourage Swiss Banks to consider participation in the Program. Should Switzerland fail to provide or act to withdraw such encouragement, or should legal barriers prevent effective participation by the Swiss Banks on the terms set out in this Program, this Program may be terminated by the Department."
Selon le paragraphe II. D.1 du programme volontaire américain, les banques de catégorie 2 doivent communiquer au DoJ le nom et la fonction des personnes ayant structuré, géré ou supervisé les actions transfrontalières de la banque en lien avec les États-Unis.
De plus, d'après le paragraphe II.D.2, les banques de catégorie 2 doivent communiquer au DoJ le nom et la fonction de toute personne, dont le gestionnaire de la relation client, le conseiller à la clientèle et gestionnaire d'actifs, ayant été en relation avec un Closed US Related Account.
Ainsi, afin d'obtenir un accord de non-poursuite pénale (Non-Prosecution Agreement), l'établissement bancaire doit coopérer et fournir l'ensemble des preuves et informations requises aux termes du programme en lien avec ses activités transfrontalières aux États-Unis et certains comptes présentant un indice d'américanité (US Related Accounts) ouverts dans ses livres au 1er août 2008 et clôturés depuis lors (Closed US Related Accounts).
Un compte est considéré, aux termes de l'accord FATCA, comme un US Related Account lorsqu'un indice existe qu'une personne américaine, soit une personne de nationalité américaine ou une personne physique résident aux Etats-Unis ou une société constituée aux Etats-Unis ou selon le droit américain ou le droit d'un des États américains, un trust ou la succession d'un défunt qui était citoyen américain en était titulaire, bénéficiaire, avait un pouvoir de signature ou un autre pouvoir sur un compte et lorsque sa valeur était supérieur à 50'000 USD. Les indices à prendre en considération pour déterminer la présence d'un US Related Account sont indiqués de manière précise à l'annexe I de l'accord FATCA. Ils sont très larges et englobent des éléments allant au-delà de la simple nationalité ou résidence comme également le lieu de naissance, un numéro de téléphone, un ordre de virement permanent sur un compte aux États-Unis, une procuration ou un droit de signature en faveur d'une personne dont l'adresse est située aux États-Unis, la présence d'un seul indice étant suffisant.
A condition que la banque concernée respecte l'ensemble des obligations définies par le programme volontaire américain, le DoJ ne la poursuivra pas en justice pour les infractions fiscales en lien avec les US Related Accounts qui se trouvent en ses livres mais le DoJ se réserve le droit de refuser de conclure un accord de non-poursuite pénale, ou de revenir sur les termes de celui-ci, s'il estime que la banque a fourni des informations fausses, incomplètes ou pouvant l'induire en erreur.
i. La FINMA a adressé un courrier aux banques suisses, le 30 août 2013, par lequel elle indiquait qu'il appartenait à chaque banque de mesurer de manière appropriée les potentiels risques juridiques et de réputation qu'entraînerait une non-participation au Programme américain et d'en tenir compte dans leur processus de décision qui devra être documenté.
Elle a ajouté que les banques participant au Programme américain étaient tenues de respecter le droit suisse et notamment les réglementations relatives à la protection des secrets d'affaires et bancaires en vigueur, ainsi que la législation sur la protection des données.
j. A______ a décidé de participer au Programme américain et s'est annoncée à ce titre, comme banque de catégorie 2, auprès du DoJ en date du 19 décembre 2013.
k. Par décision du 24 janvier 2014, le Département fédéral des finances (DFF), reprenant les termes de la décision modèle du 3 juin 2013, a autorisé A______ à coopérer avec les autorités américaines.
l. Le 26 février 2014, le Procureur général adjoint au sein du DoJ a déclaré devant une sous-commission du Sénat américain :
"The DoJ is committed to global enforcement against financial institution that facilitate cross-border tax evasion as well as against the individuals who evade their tax and reporting obligation and the bankers, accountants, lawyers and other professionals who help do it.
The 14 banks aren't covered. Individuals aren't covered. We're going to get - number one - a lot of information from these banks that will help us prosecute their employees and theirs officers. Secondly, we're going to get a lot of penalties from them - a lot of money, which this is all about. Third, we're going to get information that will help us do treaty requests in a better way because there's the proverbial wall that the Swiss keeps putting up."
m. Par courrier du 4 août 2014, A______ a informé B______ SA de son intention de communiquer une liste II.D.2 aux autorités américaines comportant son nom et sa fonction en lien avec trois comptes que la banque considérait remplir les conditions des Closed US related Accouns, telles que définies par le DoJ. Elle l'informait de ce qu'elle pouvait obtenir des renseignements complémentaires en lien avec la transmission des données, consulter les informations la concernant dans les locaux de la banque et s'opposer à la transmission dans un délai de vingt jours.
n. Par courrier de son conseil du 6 août 2014, B______ SA a sollicité de A______ une copie des données concernant la société telles qu'elles devaient être transmises aux autorités américaines, ainsi qu'une copie de la décision du Conseil fédéral et lui a signifié son opposition ferme et définitive à la transmission de ses données aux autorités américaines.
o. Le 2 septembre 2014, sur requête de B______ SA, statuant sur mesures superprovisionnelles, le Président du Tribunal de première instance a fait interdiction à A______ de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, des informations ou des documents comportant son nom et/ou des données ou informations relatives à B______ SA et/ou pouvant l'identifier, sous menace de la peine prévue à l'art. 292 CP.
Puis, par ordonnance du 24 novembre 2014 (OTPI/1534/14), statuant sur mesures provisionnelles, le Président du Tribunal de première instance a fait interdiction à A______ de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, des informations ou des documents comportant son nom et/ou des données ou informations relatives à B______ SA et/ou pouvant l'identifier, sous menace de la peine prévue à l'art. 292 CP et lui a fixé un délai de 30 jours dès notification de cette ordonnance pour faire valoir son droit en justice.
C. a. B______ SA a déposé son action au Tribunal de première instance le 29 décembre 2014, concluant à ce qu'il soit interdit à A______, sous menace de la peine prévue à l'art. 292 CP, de transmettre, de communiquer ou porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, des informations ou des documents comportant son nom et/ou des données ou informations relatives à B______ SA et/ou pouvant l'identifier.
b. A______ s'est opposée à la demande, soutenant que B______ SA n'encourait aucun risque concret d'atteinte à sa personnalité, qu'il existait par ailleurs clairement un intérêt public prépondérant à la transmission des données et que celle-ci était au demeurant indispensable à la défense de la banque en vue de sa non-inculpation par les autorités américaines.
c. Entendu le 14 octobre 2015, C______, actionnaire unique et directeur de B______ SA, a confirmé que sa société était concernée par trois comptes, l'un concernant une ressortissante américaine domiciliée aux Etats-Unis, disposant de 4'000'000 $ déclarés auprès de l'IRS, les deux autres liés à une société panaméenne, que la banque leur avait demandé de constituer pour un frère et une soeur, et dont les avoirs étaient non déclarés. Ces deux derniers comptes avaient été clôturés en 2008. C______ se souvenait avoir reçu de la documentation plus tard du fisc américain concernant les avoirs déposés. On pouvait aujourd'hui affirmer qu'il s'agissait d'avoirs déclarés auprès des autorités fiscales américaines.
C______ a précisé que les avoirs de la ressortissante américaine avaient été transférés auprès de la banque D______.
Selon lui, en cas de transmission des données, il y avait un risque de réputation pour B______ SA et il risquait, à titre personnel, de se faire arrêter aux Etats-Unis. Or, il voulait se déplacer librement dans ce pays, où étaient encore domiciliés certains de ces clients. Il estimait qu'il y avait également un risque de réputation pour lui-même.
d. Le représentant de A______, E______, membre du service juridique de la banque, a affirmé que le nom de C______ ne serait pas communiqué aux autorités américaines. Il a admis que l'on ne pouvait pas exclure tout risque tant au niveau de la réputation de B______ SA que de celle de C______, si ce dernier devait se rendre aux Etats-Unis.
E______ a confirmé que dans le cadre d'une procédure de déclaration volontaire auprès des autorités américaines, celui qui entreprenait cette démarche devait déclarer le nom du gérant interne ou externe du compte concerné. Il était ainsi certain que le nom de B______ SA avait d'ores et déjà été communiqué aux autorités américaines dans le cadre de la procédure de déclaration volontaire des ayants-droit économiques des deux comptes, dont le titulaire était une société panaméenne.
E______ a répété qu'il ne pouvait pas exclure tout risque concernant B______ SA et C______ vis-à-vis des autorités américaines. Toutefois, dans la mesure où il s'agissait de comptes déclarée ou régularisés, il ne voyait pas quels risques pouvaient encore subsister.
e. Dans ses conclusions finales, B______ SA a conclu à ce qu'il soit constaté l'illicéité de la communication par A______ aux autorités américaines, hors procédure d'entraide internationale, des documents contenant des données qui l'identifient ou permettent de l'identifier et à ce qu'il soit interdit à A______, sous menace de la peine prévue par l'art. 292 CP, de communiquer aux autorités américaines, hors procédure d'entraide internationale, lesdits documents.
D. a. Dans le jugement entrepris, le Tribunal a considéré que la communication des données de B______ SA aux États-Unis, soit dans un Etat ne disposant pas d'une législation assurant un niveau de protection adéquat, constituait une violation de l'art. 6 LPD et, partant, une atteinte à la personnalité de B______ SA, en l'absence de l'un des motifs justificatifs prévus par l'art. 6 al. 2 LPD, dont la preuve appartenait à A______ qui s'en prévalait. Il existait un risque important que les données transmises servent à d'autres fins qu'à celles exclusives de son processus de défense visant la non-inculpation pénale de la banque par les autorités américaines, de sorte que A______ ne pouvait se prévaloir du motif justificatif de l'art. 6 al. 2 let. d LPD, deuxième alternative, lié à la nécessité, pour elle, de défendre ses propres droits en justice. S'agissant de la première alternative de l'art. 6 al. 2 let. d LPD (nécessité de la transmission des données en vue de la sauvegarde d'un intérêt public prépondérant), A______, qui n'occupait pas une place systémique en Suisse, n'avait pas prouvé un risque concret de poursuite pénale à son égard, en cas de non transmission des données de B______ SA aux autorités américaines. Cette dernière avait en revanche un intérêt concret à ne pas voir ses coordonnées transférées à l'étranger. Le risque que son représentant soit arrêté pour être interrogé s'il devait se rendre aux Etats-Unis était toujours d'actualité. Sa réputation était également menacée en cas de transmission desdites données. Il convenait donc d'interdire cette dernière.
Enfin, le Tribunal a qualifié les conclusions subsidiaires de la banque comme étant reconventionnelles. Elles étaient tardives, puisque A______ ne les avaient formulées pour la première fois que dans ses écritures de plaidoiries finales.
b. Dans son appel, la banque reproche au Tribunal de ne pas avoir retenu que les informations pertinentes concernant B______ SA étaient déjà en mains des autorités américaines, à la suite d'une communication par les clients eux-mêmes dans le cadre de la régularisation de leur situation fiscale. Partant, le premier juge aurait dû constater d'office que B______ SA n'avait aucun intérêt digne de protection à agir dans le cas présent. La banque soutient par ailleurs que le Tribunal a qualifié à tort ses conclusions subsidiaires de reconventionnelles, alors qu'elles étaient purement libératoires et que B______ SA avait admis en fin de procédure que l'interdiction ne s'appliquerait pas dans le cadre d'une procédure d'entraide internationale.
c. B______ SA a confirmé qu'elle ne s'opposerait pas à la transmission des données par la voie de l'entraide internationale. L'objet du litige, soit l'interdiction de communiquer les données par le biais du programme américain, ressortait toutefois clairement des écritures présentes au dossier, de sorte qu'il n'y avait pas lieu de réformer le jugement.
EN DROIT
Les affaires portant sur la protection de la personnalité sont de nature non patrimoniale, sauf si la demande porte exclusivement sur des dommages-intérêts (ATF 142 III 145 consid. 6; 127 III 481 consid. 1; 110 II 411 consid. 1; arrêt du Tribunal fédéral 5A_328/2008 du 26 novembre 2008 consid. 1; Jeandin, in Bohnet et al. [éd.], CPC, Code de procédure civile, 2011, n° 12 ad art. 308 CPC et les réf. citées). Tel n'est pas le cas en l'espèce, de sorte que la voie de l'appel est ouverte.
Interjeté dans le délai utile et suivant la forme prescrite par la loi (art. 130, 131, 145 al. 1 let. a et 311 al. 1 CPC), l'appel est recevable.
1.2 La Cour revoit la cause avec un plein pouvoir d'examen (art. 310 CPC).
2.1 Le juge n'entre en matière que sur les requêtes pour lesquelles les requérants ont un intérêt digne de protection (art. 59 al. 1 et al. 2 let. a CPC). L'absence d'un intérêt digne de protection doit être relevée d'office, à tous les stades de la procédure. L'intérêt doit exister au moment du jugement (arrêt du Tribunal fédéral 4P.239/2005 du 21 novembre 2005 consid. 4.1). La condition de l'intérêt digne de protection implique en particulier que la ou les conclusions en question aient une utilité concrète pour la partie qui les formule (cf. Zürcher, in Sutter-Somm/ Hasenböhler/Leuenberger, ZPO Komm., 2ème éd., 2013, n. 13 ad art. 59 CPC).
2.2 En l'espèce, les éléments au dossier ne permettent pas de retenir que les autorités américaines auraient déjà connaissance de toutes les informations que l'appelante entend leur transférer. Même si les avoirs détenus sur les trois comptes gérés par l'intimée, y compris sur ceux appartenant à la société panaméenne, sont actuellement déclarés au fisc américain, les renseignements qui ont été fournis à ce dernier par leurs titulaires ou ayants-droit économiques ne sont pas connus. Par ailleurs, si le représentant de l'intimée a admis que les avoirs de la fratrie avaient fait l'objet d'une régularisation fiscale, il a toutefois ajouté que cette dernière était intervenue après la clôture des comptes auprès de la banque, qu'il situait en 2008. Ainsi, même à admettre que le nom de l'intimée et sa fonction auraient déjà été transmis aux autorités américaines lors d'une procédure d'auto-dénonciation ayant vraisemblablement eu lieu il y a plusieurs années, l'intimée conserve un intérêt à ce que ces informations ne soient pas confirmées par la banque et à ce qu'elles ne soient pas communiquées par celle-ci dans le cadre du programme américain, soit en association avec les activités d'une banque de catégorie 2 qui considère avoir violé le droit fiscal américain.
L'intimée a donc un intérêt digne de protection à ce qu'il soit constaté que la transmission des données envisagée par l'appelante constitue une atteinte à sa personnalité et à ce que celle-ci soit en conséquence interdite.
La demande de l'intimée est ainsi recevable.
Le grief de l'appelante sur ce point est donc rejeté.
3.1.1 La LPD régit le traitement de données concernant des personnes physiques et morales effectué par des personnes privées et des organes fédéraux (art. 2 al. 1 LPD) à l'exception, notamment, des procédures d'entraide judiciaire internationale (art. 2 al. 2 let. c LPD).
L'art. 4 al. 1 LPD prévoit que tout traitement de données doit être licite. Il ne doit ainsi violer aucune norme légale, en particulier de droit pénal ou de droit de protection des données (Maurer-Lambrou/Steiner, in Maurer-Lambrou/Blechta [éd.], Datenschutzgesetz Öffentlichkeitsgesetz, 3ème éd. 2014, n° 6 ad art. 4 LPD).
Les données visées par la LPD sont les données personnelles, soit toutes les informations qui se rapportent à une personne identifiée ou identifiable (art. 3 let. a LPD; ATF 136 II 508 consid. 3.2). Presque toutes les informations peuvent constituer des données personnelles au sens de la loi. Même les données de base, comme le nom, le prénom, l'adresse ou la date de naissance méritent protection selon le contexte dans lequel elles sont utilisées (Meier, op. cit., p. 199, n° 423).
Le traitement consiste en toute opération relative à de telles données, dont notamment leur communication à des tiers (art. 3 let. e LPD).
3.1.2 Selon l'art. 6 LPD, aucune donnée personnelle ne peut être communiquée à l'étranger si la personnalité de la personne concernée devait s'en trouver gravement menacée, notamment du fait de l'absence d'une législation assurant un niveau de protection adéquat (al. 1).
La communication de données dans un Etat ne disposant pas d'une législation assurant un niveau de protection adéquat entraîne de par la loi - comme une présomption irréfragable - une grave menace de la personnalité (Maurer-Lambrou/Steiner, op. cit., n° 11 ad art. 6 LPD; Steinauer/Fountoulakis, Droit des personnes physiques et de la protection de l'adulte, Berne 2014, n° 706b ad art. 6 LPD; Epiney/Fasnacht, in : Datenschutzrecht, Grundlagen und öffentliches Recht, Belser/Epiney/Waldmann [éd]., Berne 2011, § 10 n° 10; Rosenthal/Jöhri, Handkommentar zum Datenschutzgesetz, Zurich, 2008, ad art. 6 LPD n° 27).
En dépit de l'absence d'une législation assurant un niveau de protection adéquat à l'étranger, des données personnelles peuvent être communiquées à l'étranger, pour autant qu'au moins l'une des conditions énumérées à l'art. 6 al. 2 LPD soit remplie; parmi celles-ci figurent notamment les cas où la communication est, en l'espèce, indispensable soit à la sauvegarde d'un intérêt public prépondérant, soit à la constatation, l'exercice ou la défense d'un droit en justice (al. 2 let. d).
Les conditions énumérées à l'art. 6 al. 2 LPD sont alternatives et exhaustives, d'autres motifs justificatifs ne pouvant pas être invoqués (arrêt du Tribunal fédéral 4A_83/2016 du 22 septembre 2016 consid. 3.4.3; Message du Conseil fédéral du 19 février 2003 relatif à la révision de la loi fédérale sur la protection des données, in FF 2003 1915, p. 1941; Maurer-Lambrou/Steiner, op. cit., n° 22c ad art. 6 LPD).
Dans un arrêt récent en lien avec le Programme américain, le Tribunal fédéral a relevé que l'intérêt de la banque à sa survie n'est pas suffisant pour admettre l'application de l'art. 6 al. 2 let. d LPD, dès lors qu'il s'agit d'un intérêt privé et non d'un intérêt public (arrêt du Tribunal fédéral 4A_83/2016 consid. 3.4.3).
3.1.3 Le PFPDT publie une liste des États qui disposent d'une législation assurant un niveau de protection adéquat (art. 7 OLPD, RS 235.11).
Cette liste (cf. http://www.edoeb.admin.ch/datenschutz/00626/00753/index.html) indique, dans sa dernière version mise à jour au 30 juin 2016, que les États-Unis offrent un niveau de protection insuffisant, y compris d'ailleurs dans le cadre du U.S.- Swiss Safe Harbor Framework, selon l'Échange de lettres des 1er et 9 décembre 2008 entre la Suisse et les États-Unis concernant l'établissement d'un cadre de protection des données pour la transmission de données personnelles aux États-Unis (RS 0.235.233.6).
3.1.4 Les actions concernant la protection de la personnalité sont régies par les art. 28, 28a et 28l CC (art. 15 al. 1 LPD).
Selon l'art. 28a al. 1 ch. 1 CC, le demandeur peut notamment requérir du juge d'interdire une atteinte illicite, si elle est imminente.
3.2.1 En l'espèce, l'appelante, qui est une société privée, souhaite transmettre aux autorités américaines des documents indiquant l'identité de l'intimé, ainsi que son ancienne fonction auprès d'elle en rapport avec des US Related Accounts ou Closed US Related Accounts.
Ce pays n'offre pas un niveau de protection des données adéquat, au sens des dispositions et principes rappelés ci-dessus.
De par ce seul fait, la transmission des données envisagée constitue une grave atteinte à la personnalité de l'intimée au sens de l'art. 6 al. 1 LPD, ce que l'appelante ne conteste à juste titre pas. Elle est donc illicite, sauf si l'un des motifs justificatifs prévus à l'art. 6 al. 2 LPD est réalisé.
Dès lors que la banque ne soutient plus en appel que les conditions d'une transmission des données indispensable à l'exercice ou la défense d'un droit en justice (art. 6 al. 2 let. d, deuxième alternative, LPD) seraient réalisées, il n'y a pas lieu d'examiner cette question.
Reste à vérifier si son argumentaire pourrait établir l'existence d'un intérêt public prépondérant à la communication des données aux autorités américaines (art. 6 al. 2 let. d, première alternative, LPD).
3.2.2 Il existe, de manière générale, un intérêt public à ce que les banques suisses assurent la stabilité juridique et économique de la place financière suisse en participant au programme volontaire de règlement fiscal mis en place par les autorités américaines et en assurant ainsi leur propre réputation et leur pérennité.
Cet intérêt public a amené le Conseil fédéral à négocier un accord avec le Ministère de la justice des États-Unis, pour mettre fin au différend fiscal entre les banques suisses et les autorités américaines, et il a amené la FINMA à encourager les banques suisses à participer au programme américain, leur processus de décision devant être documenté à cet égard.
Toutefois, cet intérêt public ne prévaut pas automatiquement et nécessairement sur l'intérêt privé qu'un tiers peut avoir, dans un cas concret, à empêcher le transfert de ses données personnelles aux autorités américaines, dans le cadre du programme volontaire américain.
Ainsi, le Conseil fédéral a précisé dans sa décision modèle du 13 juillet 2013 que son autorisation selon l'art. 271 ch. 1 CP ne dispensait pas les banques du respect des dispositions sur la protection des données. Dans son courrier aux banques suisses du 30 août 2013, la FINMA a ajouté à son encouragement à participer au programme la mise en garde que les banques participantes restaient tenues de respecter le droit suisse et notamment la législation sur la protection des données. Enfin, le PFPDT a relevé dans sa note à l'attention des banques, du 20 juin 2013, que les principes de la LPD devaient être observés en cas de transmission de données personnelles aux autorités américaines et qu'en cas d'opposition de la personne concernée à la transmission de ses données dans un pays ne disposant pas d'une législation assurant un niveau de protection adéquat, la banque devait remplir les conditions de l'art. 6 LPD.
Pour savoir si l'intérêt public à la stabilité juridique et économique de la place financière suisse prévaut, dans un cas particulier, sur l'intérêt privé à empêcher une atteinte imminente à sa personnalité, il est donc nécessaire de procéder à une pesée des intérêts in concreto (cf. arrêt du Tribunal fédéral 4A_83/2016 du 22 septembre 2016 consid. 3.3.4), sans perdre de vue que la charge de la preuve du fait justificatif de l'intérêt public prépondérant incombe à la banque qui entend transmettre aux États-Unis les données d'une personne, contre la volonté de celle-ci (art. 8 CC).
3.2.3 En l'espèce, l'intimée a géré trois comptes présentant des éléments d'américanité, dont deux appartenant à une société panaméenne. Or, les autorités américaines ont clairement affiché leur volonté d'identifier et de poursuivre toutes les personnes ayant participé et/ou facilité la mise en place de comptes offshore.
Il existe donc un risque que l'intimée puisse apparaître aux yeux d'enquêteurs américains impliquée et/ou renseignée sur les activités des clients américains de la banque, compte tenu de sa profession de gérant de fortune et de l'accès dont elle disposait sur les comptes en question.
La banque ne conteste pas qu'en cas de transmission des données aux autorités américaines, l'intimée, et partant son représentant, courent le risque concret d'être interrogés, voire inculpés s'ils se rendent aux Etats-Unis, ainsi que d'être empêchés d'exercer certaines activités professionnelles notamment de gestion. Le représentant de l'appelante a d'ailleurs admis que la transmission desdites informations pouvait présenter un risque pour la réputation de l'intimée. Une telle communication constituerait ainsi une entrave concrète à sa liberté de mouvement et pourrait lui créer un préjudice certain sur le marché de la concurrence.
Ainsi qu'il a été exposé plus haut (consid. 2.2), l'appelante n'a pas établi que les autorités américaines ont déjà connaissance des données qu'elle entend leur transmettre, et plus particulièrement du nom de l'intimée en relation avec les comptes ouverts, puis clôturés, dans les livres de la banque. Cette dernière n'a pas démontré que la transmission des données envisagée n'aurait aucun lien de causalité avec la concrétisation des risques précités, qui pèsent sur l'intimée.
Par ailleurs, la banque n'allègue pas qu'un nombre plus ou moins important de ses employés ou autre personnes se seraient opposés avec succès à la communication de leurs données. Il paraît donc peu vraisemblable que la conclusion d'un accord de non-poursuite échoue en cas de non-transmission du seul nom de l'intimée pour cause d'une interdiction judiciaire dans le cas particulier. Ce fait n'est d'ailleurs pas contesté par l'appelante.
Enfin, la banque n'allègue rien en appel au sujet de son importance personnelle pour la place financière suisse. En particulier, elle n'allègue pas qu'elle serait une banque d'importance systémique pour toute la Suisse (comme cela avait été admis pour l'une des deux très grandes banques suisses dans l'ATF 137 II 431, concernant l'intervention de la FINMA en sa faveur), ni que sa disparition entraînerait, à tout le moins, de graves répercussions sur l'économie cantonale. Elle n'allègue, ni ne prouve rien au sujet d'une dépendance de nombreux employés, fournisseurs et clients locaux de sa propre existence. Enfin, elle n'allègue aucun élément concret en vue de prouver que la transmission des données litigieuses serait indispensable pour éviter que le différend fiscal avec les autorités américaines se ravive et mette en péril la place financière suisse dans son ensemble.
Dans ces conditions et compte tenu de la maxime des débats applicable en procédure civile (art. 55 al. 1 CPC), l'appelante n'a pas établi l'existence d'un intérêt public prépondérant. La transmission des données de l'intimée n'est ainsi pas justifiée par la 1re alternative prévue par l'art. 6 al. 2 let. d LPD.
Il s'ensuit que c'est à juste titre que le Tribunal a interdit la transmission en question, sous la menace de la peine de l'art. 292 CP.
Les chiffres 2 à 4 du dispositif du jugement sont par conséquent confirmés sur le principe de l'interdiction et la menace de la peine de l'art. 292 CP.
4.1 Il y a demande reconventionnelle lorsque la partie défenderesse ne se borne pas à conclure au déboutement de la partie demanderesse mais contre-attaque en faisant valoir à l'encontre de la partie demanderesse des prétentions propres, indépendantes de celles faisant l'objet de l'action principale (Killias, in Berner Kommentar, 2012, n° 1 ad art. 224 CPC; Jeandin/Peyrot, Précis de procédure civile, 2015, n° 294). Des conclusions purement libératoires de la part de la partie défenderesse, de même que des conclusions en constatation de l'inexistence des prétentions faisant l'objet de l'action principale, ne constituent pas une demande reconventionnelle (Tappy, in CR CPC, 2011, n° 4 ad art. 224 CPC; Killias, op. cit., n° 12 ad art. 224 CPC; arrêt du Tribunal fédéral 4A_80/2013 du 30 juillet 2013 consid. 6.4).
Selon l'art. 224 al. 1 CPC, la demande reconventionnelle doit être formée au plus tard dans la réponse à la demande. Si elle est formée plus tard, elle est irrecevable, et ce même si les conditions pour une modification de la demande (art. 227 CPC) sont réalisées ou si le demandeur lui-même modifie ses conclusions (Jeandin/Peyrot, op. cit., n° 295; Killias, op. cit., n° 45 et 46 ad art. 224 CPC; arrêt du Tribunal fédéral 4A_370/2013 du 6 janvier 2014 consid. 2.2.2).
La réduction des conclusions - qui consiste dans un retrait partiel de la demande - est admissible jusqu'au début des délibérations (art. 227 al. 3 CPC).
4.2 En l'espèce, les conclusions subsidiaires de l'appelante ne peuvent être qualifiées de reconventionnelles, dès lors qu'elles tendent à limiter la porter des prétentions de l'intimée et sont donc - partiellement - libératoires.
Par ailleurs, en limitant l'interdiction requise à la communication des données litigieuses aux autorités américaines, hors d'une procédure d'entraide, l'intimée n'a fait que préciser - valablement - ses prétentions en fin de procédure de première instance. En appel, elle admet d'ailleurs que l'interdiction vise uniquement la transmission de ses données par le biais du programme américain, ce qui ressort de la procédure.
Dans ces conditions, il se justifiait de ramener l'interdiction à la communication des données litigieuses en relation avec le programme américain.
Le chiffre 1 du dispositif du jugement sera donc annulé et les chiffres 2 et 3 modifiés dans ce sens.
L'issue de la procédure donnant droit à l'entier des conclusions prises en dernier lieu par l'intimée devant le Tribunal, il n'y a pas lieu de modifier la réparation des frais de première instance, dont la quotité n'est au surplus pas contestée. Au demeurant, la modification des prétentions opérées par l'intimée dans ses conclusions finales n'a pas engendré un rallongement de la procédure de première instance ou des frais supplémentaires.
Les chiffres 5 à 7 seront donc confirmés.
Ils seront mis à la charge de l'appelante qui succombe sur l'essentiel du litige (art. 106 al. 1 CPC).
L'appelante sera en outre condamnée aux dépens de sa partie adverse, arrêtés à 7'000 fr., débours et TVA compris (art. 95 al. 3, art. 96 CPC, art. 84, 86, 90 RTFMC, art. 25, 26 al. 1 LaCC), en tenant compte, notamment, de l'ampleur du travail de l'avocat de l'intimée qui n'a dû rédiger qu'une seule écriture de douze pages.
PAR CES MOTIFS, La Chambre civile :
A la forme :
Déclare recevable l'appel interjeté par A______ SA contre le jugement JTPI/3778/2016 rendu le 18 mars 2016 par le Tribunal de première instance dans la cause C/26915/2014-8.
Au fond :
Annule le chiffre 1 du dispositif du jugement querellé.
Modifie les chiffres 2 et 3 du dispositif comme suit :
Constate que le fait pour A______ SA (A______ LTD), de transmettre, de communiquer ou de porter à la connaissance des autorités américaines, dans le cadre du Programme américain auquel elle participe en catégorie 2 ("Program for Non-Prosecution Agreements or non Target Letters for Swiss Banks"), de quelque manière que ce soit et sur quelque support que ce soit, des données, informations ou documents comportant le nom et/ou des données ou informations relatives à B______ SA et/ou pouvant l'identifier constitue une atteinte illicite aux droits de la personnalité de B______ SA.
Interdit en conséquence à A______ SA (A______ LTD) de transmettre, de communiquer ou de porter à la connaissance des autorités américaines, dans le cadre du Programme précité, de quelque manière que ce soit et sur quelque support que ce soit, des données, informations ou documents comportant le nom et/ou des données ou informations relatives à B______ SA et/ou pouvant l'identifier.
Confirme les chiffres 4 à 7 du dispositif du jugement entrepris.
Déboute les parties de toutes autres conclusions.
Sur les frais :
Arrête les frais judiciaires d'appelà 7'000 fr., les met à la charge de A______ SA (A______ LTD) et les compense avec l'avance fournie par elle, qui reste acquise à l'Etat de Genève.
Condamne A______ SA (A______ LTD) à payer à B______ SA la somme de 7'000 fr. à titre de dépens d'appel.
Siégeant :
Madame Valérie LAEMMEL-JUILLARD, présidente; Monsieur Patrick CHENAUX et Madame Nathalie LANDRY-BARTHE, juges; Madame Audrey MARASCO, greffière.
La présidente :
Valérie LAEMMEL-JUILLARD
La greffière :
Audrey MARASCO
Indication des voies de recours :
Conformément aux art. 72 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF; RS 173.110), le présent arrêt peut être porté dans les trente jours qui suivent sa notification avec expédition complète (art. 100 al. 1 LTF) par-devant le Tribunal fédéral par la voie du recours en matière civile.
Le recours doit être adressé au Tribunal fédéral, 1000 Lausanne 14.