{T 0/2}

4A_406/2014; 4A_408/2014

Composition

Mmes et M. les Juges fédéraux Kiss, Présidente, Klett, Kolly, Hohl et Niquille.

Greffier : M. Piaget.

A.________ SA,

représentée par Me Shelby du Pasquier et Me Daniel Tunik, Lenz & Staehelin,

recourante,

contre

4A_406/2014

B.________, représentée par Me Douglas Hornung,

intimée,

4A_408/2014

C.________, représenté par Me Douglas Hornung,

intimé;

Objet

protection des données,

recours contre les arrêts de la Cour de justice du canton de Genève, Chambre civile, du 23 mai 2014.

A.a. A.________ SA (ci-après: A.________ ou la banque), établissement bancaire sis à Genève, a employé C.________ (ci-après: l'employé) en qualité de responsable du service " Asset Management Private Banking " de 1996 jusqu'à son licenciement en octobre 2008 (pour le 30 avril 2009). L'employé occupait également le poste de directeur de l'unité de gestion basée à New York et s'était rendu aux Etats-Unis dans ce cadre.

A.b. En 2008, les autorités américaines ont ouvert une enquête contre D.________ SA, suspectée d'avoir aidé des clients américains à éluder l'impôt américain, et elles ont requis à ce sujet l'entraide administrative auprès des autorités suisses.

A.c. C.________ a appris ce qui précède par la presse; il a contacté le service des ressources humaines de A.________, lequel l'a informé que son identité avait effectivement été communiquée aux autorités américaines.

A.d. Le 11 juillet 2012, B.________, ayant eu connaissance de ce qui précède par la presse, a demandé à A.________ si elle était également concernée; la banque lui a confirmé que tel était le cas.

A.e. Le 17 août 2012, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a ouvert une procédure d'éclaircissement au sens de l'art. 29 de la loi sur la protection des données (LPD), afin de vérifier si les principes de la loi avaient été respectés lors de la transmission des données par les banques suisses aux autorités américaines.

B.a. Par acte du 14 décembre 2012, agissant au bénéfice d'une autorisation de procéder du 15 novembre 2012, C.________ a saisi le Tribunal de première instance de Genève d'une requête contre A.________.

B.b. Par deux jugements séparés du 24 octobre 2013, le Tribunal de première instance de Genève a ordonné à A.________ de remettre aux demandeurs, sur un support papier ou sur un support électronique, une copie des documents qui avaient été transmis aux autorités américaines et qui contenaient des données les concernant, soit des informations qui les identifiaient ou qui permettaient de les identifier (nom, prénom, adresse e-mail, numéro de téléphone, fonction, description de l'activité, etc.) (ch. 1 du dispositif). Le Tribunal a en outre dit que les données des clients, des autres employés et ex-employés de A.________ ainsi que des tiers figurant dans ces documents pourraient être caviardées (ch. 2). Il a en sus ordonné à A.________ d'indiquer aux demandeurs à quelles dates et à quelles autorités américaines les documents avaient été transmis (ch. 3). Il a mis les frais à la charge de la défenderesse et condamné celle-ci à verser aux demandeurs des dépens (ch. 4 à 9). Enfin, il a débouté les parties de toutes autres conclusions (ch. 10).

C. Contre ces deux arrêts cantonaux, la banque (ci-après: la recourante ou la banque) exerce deux recours en matière civile séparés mais comportant les mêmes critiques et conclusions (sauf en ce qui concerne l'objet de la requête d'accès aux données et la décision entreprise). Sous suite de frais et dépens, elle conclut à l'annulation des arrêts visés et à ce que les employés soient déboutés de toutes autres conclusions, subsidiairement, à l'annulation des arrêts entrepris et au renvoi de la cause à l'autorité cantonale.

Les employés (ci-après: les intimés ou les employés) concluent, sous suite de frais et dépens, à ce que la banque soit déboutée de toutes ses conclusions.

1. Vu la connexité évidente des deux recours, il se justifie de joindre les procédures, étant précisé que les deux intimés sont par ailleurs représentés par le même mandataire.

2. Le Tribunal fédéral examine d'office et librement sa compétence, respectivement la recevabilité des recours qui lui sont soumis (ATF 134 III 115 consid. 1, 235 consid. 1, 379 consid. 1).

2.1. Les litiges concernent principalement l'application de la loi fédérale sur la protection des données (LPD; RS 235.1). Il s'agit en l'occurrence d'une action civile menée, sur la base des art. 8 et 9 LPD, par deux ex-employés contre une banque; les causes divisent deux personnes privées et il s'agit donc, dans chaque cas, d'une contestation civile (art. 72 LTF; arrêt 4A_184/2014 du 5 août 2014 consid. 1). Elle porte sur un droit de nature non pécuniaire (arrêt 4A_688/2011 du 17 avril 2012 consid. 1 non publié in ATF 138 III 425) et le recours en matière civile est donc ouvert sans restriction quant à la valeur litigieuse (cf. art. 74 al. 1 LTF 

2.2. Le recours en matière civile peut être interjeté pour violation du droit, tel qu'il est délimité par les art. 95 et 96 LTF. Il peut donc également être formé pour violation d'un droit constitutionnel (ATF 136 I 241 consid. 2.1 p. 247; 136 II 304 consid. 2.4 p. 313).

2.3. Le Tribunal fédéral conduit son raisonnement juridique sur la base des faits établis par l'autorité précédente (art. 105 al. 1 LTF). Il ne peut s'en écarter que si les faits ont été établis de façon manifestement inexacte - ce qui correspond à la notion d'arbitraire (ATF 136 II 304 consid. 2.4 p. 314; 135 III 127 consid. 1.5 p. 130) - ou en violation du droit au sens de l'art. 95 LTF (art. 105 al. 2 LTF). Une rectification de l'état de fait ne peut être demandée que si elle est de nature à influer sur le sort de la cause (art. 97 al. 1 LTF).

3.1. Le Tribunal de première instance, dans ses jugements du 24 octobre 2013, a considéré que les documents dont une copie était sollicitée par les employés contenaient des données personnelles les concernant et que, dans la mesure où ils avaient fait l'objet d'une communication aux autorités américaines et où la requête des employés n'était pas abusive, un droit d'accès devait leur être assuré.

3.2. Dans ses arrêts du 23 mai 2014, la Cour de justice examine si la banque peut s'opposer au droit d'accès dont se prévalent les employés en faisant valoir des intérêts prépondérants.

4. Sur le principe, la recourante reconnaît que les employés peuvent prendre connaissance du contenu des documents litigieux. Elle refuse toutefois de leur remettre ceux-ci sous forme écrite (copie des données).

La recourante reproche à la cour cantonale d'avoir violé l'art. 8 al. 5 LPD. Les circonstances d'espèce seraient telles qu'elles justifieraient une (nouvelle) exception au principe de la communication écrite. Elle invoque également une transgression de l'art. 9 al. 1 let. a et b LPD, ainsi que de l'art. 9 al. 4 LPD, son refus de fournir des copies écrites, dicté par la prise en compte d'intérêts de tiers et des siens propres, étant légitime.

5. La recourante reproche à la cour cantonale d'avoir violé l'art. 9 al. 1 let. a LPD. Selon elle, une base légale au sens formel interdisant à la banque de communiquer les renseignements demandés (subsidiairement prévoyant une restriction à cette communication) est contenue à l'art. 47 de la loi sur les banques (LB; RS 952), ainsi qu'à l'art. 162 CP.

5.1. L'art. 47 LB ne règle pas le secret bancaire en tant que tel, mais il prévoit la sanction (pénale) en cas de violation de ce secret (sur l'ensemble de la question: ATF 137 II 431 consid. 2.1.1 p. 437).

5.2. La communication aux ex-employés des informations sur les clients de la banque équivaut aujourd'hui à une remise à des tiers (et ce, même si, après la fin des relations contractuelles, ils sont encore soumis au secret bancaire), ce qui constitue en soi, dans la perspective de la banque, un comportement punissable au sens de l'art. 47 LB (ce qui est d'ailleurs également le cas pour la simple consultation, sur place, des données).

5.3. La recourante considère que l'infraction (art. 47 LB) pourrait quand même être réalisée de par le fait que les employés ont pu prendre connaissance des documents intégraux et qu'ils seraient donc en mesure, en cas de remise écrite des données, d'identifier (en reconstituant de mémoire les éléments caviardés) les clients en cause.

5.4. La recourante soutient que " l'argumentation valable pour l'art. 47 LB est transposable à l'art. 162 CP ". Selon elle, si les employés sont en possession de copies, ils pourraient alors identifier les noms des clients et d'autres informations couvertes par le secret commercial, au vu de leur activité passée au sein de l'établissement bancaire.

L'argument est sans consistance. L'infraction (art. 162 CP) peut uniquement être réalisée par la personne tenue au secret, soit celle qui a un devoir (légal ou contractuel) de garder le secret (cf. BERNARD CORBOZ, Les infractions en droit suisse, Vol. I, 3e éd. 2010, nos 3 et 9 s. ad art. 162 CP; STRATENWERTH/JENNY, Schweizerisches Strafrecht, Besonderer Teil I, 6e éd. 2003, no 6 ad § 22). Le maître du secret n'est pas visé par l'infraction et, partant, la banque ne saurait en l'espèce s'en prévaloir à titre de base formelle au sens de l'art. 9 al. 1 let. a LPD.

6. La recourante invoque une transgression de l'art. 9 al. 1 let. b LPD.

6.1. Il résulte des constatations cantonales que la banque n'a pas fait valoir, devant l'autorité précédente, l'intérêt des tiers, pour fonder son opposition à la remise d'une copie des documents litigieux.

6.2. En vertu de l'art. 9 al. 1 let. b LPD, le maître du fichier peut refuser ou restreindre la communication des renseignements demandés, voire en différer l'octroi, dans la mesure où les intérêts prépondérants d'un tiers l'exigent.

6.3. Selon les constatations cantonales, lors de leur transmission aux autorités américaines, les documents ne contenaient pas d'informations permettant d'identifier les clients. Il en ressort également que la banque a été autorisée par le premier juge à anonymiser les éléments permettant d'identifier ses (ex-) collaborateurs et les tiers. Il ne résulte pas des constatations cantonales que le caviardage ne permettrait pas de protéger suffisamment les tiers.

7. La recourante reproche à la cour cantonale d'avoir appliqué de manière incorrecte l'art. 9 al. 4 LPD.

7.1. Elle commence par soutenir qu'on peut renoncer à procéder à une pesée d'intérêts sous cet angle en insistant sur le fait que les employés, à qui elle reconnaît le droit de consulter les informations les concernant sur place (données à l'écran), ne disposent en réalité d'aucun intérêt à obtenir une communication écrite.

7.1.1. Il faut rappeler ici qu'en soi le droit d'accès selon l'art. 8 LPD - donc la remise écrite d'information (cf. infra consid. 8.1) - peut être exercé sans la preuve d'un intérêt. Ce n'est que si le maître du fichier veut refuser ou restreindre l'accès qu'une pesée des intérêts aura lieu (à ce sujet cf. infra consid. 7.2). La prise en compte de l'intérêt du titulaire du droit d'accès joue également un rôle lorsqu'un abus de droit entre en considération (ATF 138 III 425 consid. 5.4 p. 4.3.2; 123 II 543 consid. 2e p. 538; cf. ARTER/DAHORTSANG, Bundesgericht, I. Zivilabteilung, Urteil vom 17. April 2012, PJA 2012, p. 1161).

7.1.2. En l'espèce, les employés expliquent qu'ils tiennent à obtenir une copie de leurs données pour deux raisons: premièrement, afin de pouvoir juger d'une possible illicéité de traitement effectué par la recourante et formuler d'éventuelles futures prétentions civiles contre la banque. Deuxièmement, afin d'être en mesure d'anticiper de probables ennuis qui leur seront causés par le Department of Justice (DoJ) et de préparer leur défense sur la base des informations et données transmises et d'ores et déjà en mains de l'autorité pénale étrangère.

7.1.3. A la lumière des principes évoqués ci-dessus (cf. consid. 6.1.1), on ne saurait ainsi dire que la requête des employés, qui n'est pas chicanière, ni contraire au but qu'elle est censée poursuivre, est abusive. On peut au demeurant observer qu'il serait en l'espèce paradoxal de considérer leur requête comme un prétexte à une recherche indéterminée de moyens de preuve ( 

7.1.4. Quant à la forme de l'accès aux données, les employés ont un intérêt évident à obtenir une copie des informations en cause. Premièrement, l'obtention d'une copie leur permettra de consulter leurs données où ils veulent et quand ils veulent, et d'avoir, en tout temps, la possibilité de comparer les documents litigieux avec d'autres informations éventuellement en leur possession (cf. Alexander Dubach, Das Recht auf Akteneinsicht, 1990, p. 351). Force est également de constater, deuxièmement, qu'à défaut de pouvoir présenter une copie des informations en cause dans l'hypothèse d'une procédure contre la banque, les employés se heurteraient rapidement à la difficulté de fournir la preuve de leurs allégués (sur le constat: Aubert, op. cit., p. 42; Ceregato/Müller, Das datenschutzrechtliche Auskunftsrecht: (k) ein Mittel zur Beweisausforschung, in Jusletter 20 août 2012 ch. IV; cf. Gilles Monnier, Le droit d'accès aux données personnelles traitées par un média, 1999, p. 188). Troisièmement, les employés ont un intérêt à bénéficier de tous les instruments leur permettant d'évaluer les risques d'être inquiétés par les autorités américaines, le cas échéant de se défendre; les copies des informations étant en possession de l'autorité pénale étrangère, l'intérêt des employés à disposer également d'une copie des mêmes documents (même s'ils en ont déjà connaissance) est indéniable.

7.2. Quant à la pesée d'intérêts évoquée par la recourante dans le même contexte, elle doit maintenant être examinée sous l'angle de l'art. 9 al. 4 LPD.

7.3. La recourante invoque son intérêt fondé, d'une part, sur la nature sensible des documents et, d'autre part, sur les règles de sécurité auxquelles elle soumet son personnel. Elle insiste sur le fait que la remise de documents écrits entraînerait la perte de maîtrise par la banque et la mise en circulation potentielle - notamment par le biais de fax, photocopies et scans - de centaines de documents d'importance stratégique pour elle. Dans ce contexte, la recourante rappelle également sa réglementation interne qui interdit aux employés d'emporter chez eux des documents confidentiels.

7.4.1. S'agissant de l'intérêt sur la base duquel la banque tente de restreindre le droit d'accès dont les employés sont titulaires, il a été rappelé ci-dessus que les documents ne contenaient pas d'informations permettant d'identifier les clients (cf. supra consid. 5.2), de sorte qu'on ne voit pas en quoi la banque pourrait avoir un intérêt à restreindre le droit d'accès aux documents litigieux pour un motif lié au secret bancaire.

7.4.2. Au sujet des documents d'importance stratégique évoqués par la banque, on peut là aussi souligner que les employés en ont déjà pris connaissance, aussi bien au cours de leur ancienne activité professionnelle que par le biais de leur consultation sur place, et que les éventuelles informations confidentielles de la banque qui y sont contenues leur sont déjà connues. Ainsi, le risque potentiel d'une divulgation (évoqué par la banque) n'est, en soi, pas lié à la remise d'une copie des documents litigieux. Ce risque découle déjà d'une prise de connaissance préalable du contenu des documents litigieux par les employés.

7.5. Quant à l'intérêt des employés à avoir en leur possession une copie des documents transmis aux autorités américaines, il a déjà été reconnu plus haut (cf. supra consid. 7.1.4). Il en résulte qu'à défaut d'obtenir une copie, les employés risquent de se heurter à des difficultés importantes (et concrètes) sous plusieurs aspects (cf. supra consid. 7.1.4).

7.6. C'est en vain que la banque insiste sur le contenu de sa réglementation interne pour infléchir la pesée d'intérêts dans un sens qui lui est favorable.

7.6.1. On peut comprendre, sur la base de cette réglementation interne, l'importance (générale) pour la banque de garantir la confidentialité des documents sensibles. A nouveau, celle-ci ne désigne toutefois aucun élément concret qui permettrait de saisir quels types de documents entrant dans cette définition ont été livrés aux autorités américaines, afin de déterminer leur impact sur la pesée des intérêts entreprise plus haut.

7.6.2. L'argumentation de la banque relative à la réglementation interne semble également suggérer que les employés auraient renoncé contractuellement à faire valoir leur droit d'accès (art. 8 LPD), à tout le moins à la possibilité de recevoir une copie des documents litigieux.

7.6.3. A la lumière des considérations qui précèdent, on ne peut admettre qu'en concluant le contrat de travail, les employés ont par avance consenti à ne pas faire valoir, vis-à-vis de leur employeur, leur droit d'accès au sens de l'art. 8 LPD. Pour la même raison, les employés ne sauraient avoir acquiescé à une restriction de leur droit d'accès, soit avoir accepté qu'aucun document écrit contenant leurs données personnelles ne leur soit remis (dans ce sens: AUBERT, op. cit., p. 43).

7.7. Enfin, c'est en vain que la recourante tente de se prévaloir de la décision du 25 avril 2013 de la Cour des plaintes du Tribunal pénal fédéral (BB.2112.133 consid. 2.2.1) qui mentionne, selon ses propres explications, qu'aucun élément probant ne permet de prouver que l'ex-employé (alors objet de la procédure fédérale) serait contraint de rester en Suisse de peur de se faire interroger, arrêter et/ou extrader aux Etats-Unis et que rien au dossier n'amène à conclure que les employés de A.________ font l'objet d'une poursuite aux Etats-Unis.

7.8. Puisque la condition d'un intérêt prépondérant de la banque n'a pas été démontrée par celle-ci, il importe peu de savoir si la deuxième condition posée par l'art. 9 al. 4 LPD, à savoir que le maître du fichier ne communique pas les données personnelles à un tiers, est également remplie (cf. ATF 138 III 425 consid. 6.6 p. 436).

8. La recourante reproche également à la cour cantonale d'avoir violé l'art. 8 al. 5 LPD. Elle estime qu'en l'espèce les circonstances sont telles qu'elles justifient une exception au principe de la communication écrite (en dehors de l'exception prévue par le Conseil fédéral). Elle fournit divers arguments visant à convaincre de l'existence de telles circonstances (cf. infra consid. 8.2 à 8.6).

8.1. En vertu de l'art. 8 al. 5 LPD, " les renseignements sont, en règle générale, fournis gratuitement et par écrit, sous forme d'imprimé ou de photocopie. Le Conseil fédéral règle les exceptions ".

8.2. L'argumentation générale fournie, dans un premier temps, par la recourante tombe à faux. En effet, il ne s'agit pas d'étendre la réflexion, de manière globale, à l'ensemble des employés de tous les établissements bancaires qui, potentiellement, pourraient exiger de leur employeur respectif la remise écrite d'informations les concernant; il s'agit ici de déterminer si, dans le cas concret, un refus par la banque d'une remise écrite des documents aux deux employés se justifie ou non.

8.3. La recourante insiste ensuite sur le fait qu'il convient d'accorder une crédibilité accrue aux recommandations du PFPDT, lesquelles ont cautionné, en ce qui concerne l'accès aux données déjà transmises aux autorités américaines, la forme de la consultation des documents sur place, ceci compte tenu de leur sensibilité, des règles de sécurité de la banque, ainsi que du secret bancaire et des règles internes interdisant aux employés d'emporter des documents chez eux.

8.4. A l'appui de sa thèse, la recourante tente également de tirer argument d'une application par analogie du droit allemand. Elle relève que le paragraphe 34 al. 6 BDSG prévoit explicitement de déroger à la forme écrite lorsque les circonstances du cas d'espèce font qu'une autre forme apparaît comme plus appropriée.

8.5. S'agissant de la clause générale de police évoquée par la recourante, elle consiste en un droit qui appartient à l'Etat (ATF 137 II 431 consid. 3.3 p. 444 s.; 103 Ia 310 consid. 3a p. 311 s.). La banque, en tant que personne morale de droit privé, ne saurait donc en tirer un quelconque argument pour défendre sa thèse.

8.6. La recourante estime enfin qu'une remise écrite des données se heurte au contenu de l'art. 339a al. 1 CO qui prévoit qu'au moment où le contrat prend fin, les parties se rendent tout ce qu'elles se sont remis pour la durée du contrat, de même que tout ce que l'une d'elles pourrait avoir reçu de tiers pour le compte de l'autre. Selon elle, cette disposition de droit impératif serait vidée de sa substance s'il suffisait à un ancien employé d'entreprendre une action sur la base de la LPD pour récupérer toutes les données le concernant en possession de son employeur, ce d'autant plus sous l'angle de la réglementation idoine faisant partie intégrante des contrats de travail liant la banque à ses employés.

9. Il résulte des considérations qui précèdent que les recours en matière civile doivent être rejetés.

1. Les recours 4A_406/2014 et 4A_408/2014 sont joints.

2. Les deux recours sont rejetés.

3. Les frais judiciaires, arrêtés à 14'000 fr. au total, sont mis à la charge de la recourante.

4. La recourante versera à chacun des intimés une indemnité de 8'000 fr. à titre de dépens.

5. Le présent arrêt est communiqué aux parties et à la Cour de justice du canton de Genève, Chambre civile.

Lausanne, le 12 janvier 2015

Au nom de la Ire Cour de droit civil

du Tribunal fédéral suisse

La Présidente : Kiss

Le Greffier : Piaget