Tribunal fédéral du 1er octobre 2018
3. Protection de la personnalité et protection des données
LPD 6 II. Malgré l’absence de législation assurant un niveau de protection adéquat, la communication à l’étranger de données personnelles est possible si la communication est, en l’espèce, indispensable à la sauvegarde d’un intérêt public prépondérant (consid. 3.2).
LPD 6 II. En matière de transmission de données personnelles aux États-Unis par une banque en Suisse, il existe un intérêt public si la préservation de la stabilité juridique et économique de la place financière suisse est en jeu (consid. 3.2.1).
CC 4 ; LPD 6 II d. Le juge doit procéder à une pesée des intérêts in concreto, en tenant compte de toutes les circonstances du cas particulier à la date du jugement (consid. 3.2.2).
LPD 6 II d. La communication des données est indispensable si elle est absolument nécessaire à la sauvegarde de l’intérêt public prépondérant (consid. 3.2.3).
LPD 6 II d. Il appartient à la banque de démontrer le caractère indispensable de la communication des données personnelles de l’intimée pour la sauvegarde de l’intérêt public prépondérant (consid. 3.2.3).
CC 8 ; LPD 6 II d. L’allégement de la preuve du caractère indispensable ne saurait en l’espèce être justifié par l’état de nécessité (consid. 3.4).
LPD 6 II d. Le caractère indispensable ne revêt pas une signification différente selon que la communication est nécessaire à la sauvegarde d’un intérêt public prépondérant ou à la constatation, à l’exercice ou à la défense d’un droit en justice (consid. 3.5).
3. Persönlichkeits- und Datenschutzrecht
DSG 6 II. Trotz Fehlens einer Gesetzgebung, welche einen angemessenen Schutz gewährleistet, können Personendaten ins Ausland bekannt gegeben werden, wenn dies im Einzelfall zur Wahrung eines überwiegenden öffentlichen Interesses unerlässlich ist (E. 2.1).
DSG 6 II. Die Übermittlung von Personendaten an die USA durch eine schweizerische Bank liegt im öffentlichen Interesse, wenn die Erhaltung der rechtlichen und wirtschaftlichen Stabilität des schweizerischen Finanzplatzes auf dem Spiel steht (E. 2.1).
ZGB 4; DSG II d. Der Richter muss die involvierten Interessen abwägen und dabei sämtlichen Umständen des Einzelfalls im Moment des Urteils Rechnung tragen (E. 3.2.2).
DSG 6 II d. Die Bekanntgabe von Personendaten ist unerlässlich, wenn dies zur Wahrung des überwiegenden Interessens absolut notwendig ist (E. 2.1).
DSG 6 II d. Es obliegt der Bank, aufzuzeigen, dass die Bekanntgabe der Personendaten des Beschwerdegegners unerlässlich ist zur Wahrung des überwiegenden öffentlichen Interesses (E. 3.2.3).
ZGB 8; DSG 6 II d. In Bezug auf die Voraussetzung der Unerlässlichkeit liegt kein Beweisnotstand vor, der eine Beweiserleichterung rechtfertigen würde (E. 3.4).
DSG 6 II d. Die Voraussetzung der Unerlässlichkeit verlangt, dass die Bekanntgabe entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist (E. 3.5).
Ire Cour de droit civil ; Rejet du recours ; réf. 4A_452/2018
Le 14 février 2013, les autorités suisses et américaines ont signé un accord visant à faciliter la mise en œuvre par les établissements financiers suisses de la loi fiscale américaine (Foreign Account Tax Compliance Act [FATCA]).
Le 29 août 2013, le Conseil fédéral et le Ministère de la justice des États-Unis (ci-après : DoJ) ont trouvé un accord visant à mettre un terme au différend fiscal entre les banques suisses et les États-Unis. Trois documents servent à concrétiser cet accord : la déclaration commune (Joint Statement) du Conseil fédéral (Département fédéral des finances) et du DoJ, le programme volontaire américain (Program for Swiss banks), ainsi que l’autorisation modèle du Conseil fédéral du 3 juillet 2013.
En vertu du Joint Statement, le DoJ entend fournir aux banques suisses non impliquées dans une procédure pénale (autorisée par le DoJ) un moyen adapté pour clarifier leur situation (status) en lien avec l’ensemble des enquêtes menées par le DoJ. Pour sa part, le Conseil fédéral (dans le texte : « Switzerland ») manifeste son intention d’attirer l’attention des banques suisses sur les dispositions du programme américain et de les encourager à envisager une participation. Il relève que le droit suisse en vigueur permettra aux banques suisses une participation effective selon les termes fixés dans le programme.
Selon le programme volontaire américain, les banques qui estiment avoir violé le droit fiscal américain doivent communiquer au DoJ le nom et la fonction des personnes ayant « structuré, géré ou supervisé les actions transfrontalières de la banque en lien avec les États-Unis » et le nom et la fonction de « toute personne, dont le gestionnaire de la relation client, le conseiller à la clientèle et gestionnaire d’actifs, ayant été en relation avec un Closed US Related Account ».
X. (ci-après : X. ou la banque) s’est annoncée auprès du DoJ le 27 décembre 2013 afin de participer au programme volontaire. Dans ce cadre, elle a informé A. qu’elle envisageait de communiquer aux autorités américaines une liste comportant son nom et sa fonction en lien avec des comptes qui remplissait, selon elle, les conditions d’un Closed US Related Account. A. s’est opposée à la communication des données.
Le 10 juin 2015, A. a ouvert action contre X., concluant à ce qu’il lui soit interdit, sous la menace de la peine d’amende prévue à l’art. 292 CP, de transmettre, de communiquer ou de porter à la connaissance de tiers ou d’États tiers, et en particulier au DoJ, de quelque manière que ce soit et sur quelque support que ce soit, des données, des informations et des documents comportant le nom et/ou des données et informations relatives à A., et/ou pouvant l’identifier.
En cours de procédure, X. a conclu un accord de non-poursuite (NPA) avec le DoJ reprenant les obligations du programme américain, dans lequel elle s’engage en outre à continuer à collaborer et à fournir des données aux autorités américaines pendant une période de quatre ans, à compter de l’exécution complète de l’accord. Le DoJ se réserve le droit d’engager des poursuites pénales contre la banque en cas de violation des termes de l’accord. Si une telle violation est constatée, le DoJ s’engage toutefois à le communiquer à X. par une notification écrite, avant d’entamer une quelconque procédure. La banque peut alors, dans le délai de trente jours, expliquer par écrit la nature et les circonstances de la violation, ainsi que les actions prises pour y remédier. Ces explications doivent être prises en considération par le DoJ pour déterminer l’opportunité d’engager une procédure contre X.
Par jugement du 30 octobre 2017, la Présidente du TC Lausanne a admis la demande et fait interdiction à X. de transmettre, de communiquer ou de porter à la connaissance de tiers, notamment du DoJ, de quelque manière que ce soit et sur quelque support que ce soit, des données, des informations et des documents comportant le nom et/ou des données et informations relatives à A. et/ou pouvant l’identifier, sous la menace de la peine d’amende prévue à l’art. 292 CP en cas d’insoumission à une décision de l’autorité.
Par arrêt du 3 juillet 2018, la Cour d’appel civile du Tribunal cantonal vaudois a rejeté l’appel formé par X. et confirmé le jugement attaqué.
X. a interjeté un recours en matière civile.
Considérants:
3.
3.1 Selon l’art. 6 al. 1 LPD, aucune donnée personnelle (cf. art. 3 LPD) ne peut être communiquée à l’étranger si la personnalité des personnes concernées devait s’en trouver gravement menacée, notamment du fait de l’absence d’une législation assurant un niveau de protection adéquat.
L’art. 6 al. 2 LPD contient une liste exhaustive de motifs (alternatifs) permettant la communication à l’étranger des données, en dépit de l’absence de législation assurant un niveau de protection adéquat (TF du 23 novembre 2017, 4A_390/2017, consid. 4.1 et l’arrêt cité).
3.2 Selon l’art. 6 al. 2 let. d 1ère hypothèse LPD, des données personnelles peuvent être communiquées à l’étranger uniquement si la communication est, en l’espèce, indispensable notamment à la sauvegarde d’un intérêt public prépondérant. Cette disposition pose trois conditions : (1) un intérêt public, (2) un intérêt public qui soit prépondérant et (3) une communication qui soit indispensable à la sauvegarde de celui-ci. Dans un arrêt en rapport avec le programme américain, le TF a déjà précisé ce qu’il y a lieu d’entendre par là.
3.2.1 Il existe un intérêt public si la préservation de la stabilité juridique et économique de la place financière suisse est en jeu. L’intérêt de la banque à sa survie ne suffit en soi pas, dès lors qu’il s’agit d’un intérêt privé, et non d’un intérêt public (TF 4A_390/2017 déjà cité consid. 4.2.1).
3.2.2 L’intérêt public doit être prépondérant par rapport à l’intérêt privé du tiers à ce que ses données personnelles ne soient pas communiquées aux autorités américaines. Le juge doit procéder à une pesée des intérêts (art. 4 CC) in concreto, en tenant compte de toutes les circonstances du cas particulier à la date du jugement (cf. TF 4A_390/2017 déjà cité consid. 4.2.2 et les références citées).
3.2.3 La communication des données doit être indispensable à la sauvegarde de l’intérêt public prépondérant. Elle est indispensable (unerlässlich) si elle est absolument nécessaire (unbedingt notwendig) en ce sens que, sans la livraison de ces données, le litige fiscal avec les États-Unis s’intensifierait à nouveau, que la place financière suisse dans son ensemble en serait affectée et que cela porterait préjudice à la réputation de la Suisse en tant que partenaire de négociation fiable (TF 4A_390/2017 déjà cité consid. 4.2.3 et les arrêts cités).
En signant le Joint Statement, le Conseil fédéral a garanti au DoJ que le droit suisse en vigueur permet la participation effective des banques au programme américain. Autrement dit, vu le Joint Statement conclu par le Conseil | fédéral, il doit être admis que, matériellement, le droit suisse autorise la participation effective des banques suisses et donc la communication des données de tiers (employés, gestionnaires) conformément aux conditions posées par le programme américain.
Il ne s’agit toutefois pas d’admettre de manière abstraite que toutes les banques doivent communiquer les données concernant des tiers, même en l’absence de toute menace d’une atteinte à l’intérêt public de la Suisse. Il faut bien plutôt examiner si la modification de la situation de fait doit être prise en considération sous l’angle matériel et si elle conduit à admettre ou nier le caractère indispensable de la communication des données. La LPD vise en effet à protéger la personnalité et les droits fondamentaux des personnes qui font l’objet d’un traitement de données. Au centre de ses préoccupations figure donc la protection de la personnalité de l’intéressé (employé, gestionnaire). Ne pas tenir compte par principe des modifications de la situation et admettre systématiquement la communication des données aurait pour conséquence de laisser la personnalité sans protection, alors même que, dans le cas particulier, la communication n’est plus indispensable à la sauvegarde de l’intérêt public (TF 4A_390/2017 déjà cité consid. 4.2.3).
Il appartient à la banque de démontrer que, à la date du jugement, la non-communication des données litigieuses aurait pour conséquence nécessaire une nouvelle escalade du litige fiscal avec les USA et, de ce fait, constituerait une menace pour la place financière suisse et la réputation de la Suisse en tant que partenaire de négociation fiable (TF 4A_390/2017 déjà cité consid. 4.2.3).
3.3 On observe d’emblée que la cour cantonale a tranché la question litigieuse en considérant que la transmission des données n’était pas indispensable pour la sauvegarde de l’intérêt public prépondérant (cf. supra consid. 3.2.3).
Les magistrats précédents se fondent sur les critères rappelés encore récemment par la Cour de céans dans une affaire concernant la même banque (TF du 26 mars 2018, 4A_611/2017, consid. 4.2) et ils relèvent que celle-ci n’a pas fait la démonstration d’un risque avéré (ou concret) dans les circonstances de l’espèce, mais qu’elle se contente de faire état « des risques » de voir l’accord conclu avec le DoJ révoqué.
En l’occurrence, si les divers éléments énumérés par la banque rappellent qu’un manquement de sa part aux obligations résultant du Programme volontaire et de l’accord NPA comporte le risque (identifié de manière générale, abstraite, pour toutes les banques) d’une dénonciation de l’accord, ils ne suffisent pas à démontrer que la non-communication des données litigieuses serait concrètement (en l’espèce) de nature à remettre en cause l’accord conclu et/ou à entraîner une inculpation de la banque. À cet égard, il n’est d’ailleurs pas établi que la banque aurait fait l’objet de relances spécifiques ou de pressions déterminées de la part du DoJ. Par ailleurs, et cela est déterminant, on ne peut déduire de ces éléments que la livraison des données serait en l’occurrence nécessaire pour (risque subséquent) éviter une (nouvelle) intensification du litige fiscal avec les USA qui, de ce fait, affecterait la place financière suisse et porterait préjudice à la réputation de la Suisse en tant que partenaire de négociation fiable.
Cela étant, la livraison des données litigieuses ne peut, en l’état actuel, être considérée comme indispensable au sens de l’art. 6 al. 2 let. d 1ère hypothèse LPD.
Le moyen est infondé.
3.4 Dans une critique distincte, la recourante tente d’infléchir le résultat auquel est parvenu la cour cantonale en revenant sur le degré de la preuve. En rapport avec l’existence du risque de dénonciation et/ou d’inculpation, elle estime que la preuve mise à sa charge est impossible à apporter ou qu’elle ne peut pas être raisonnablement exigée d’elle. Invoquant l’état de nécessité, elle considère que la cour cantonale aurait dû renoncer à l’exigence de la certitude et se satisfaire d’une vraisemblance prépondérante. Dans cette dernière perspective (impliquant un degré de preuve réduit), elle considère avoir apporté la preuve qui lui incombait.
L’argumentation ne convainc pas. On ne voit en effet pas en quoi cette preuve (que la banque n’est pas parvenue à fournir) serait, de par la nature même du fait à établir, objectivement impossible à apporter ou pourquoi elle ne pourrait pas être raisonnablement exigée de la banque (cf. ATF 133 III 153 ss consid. 3.3). Il résulte à cet égard de l’arrêt cantonal que, si les autorités américaines devaient estimer que le NPA a été violé, elles se sont engagées dans cet accord à interpeller par écrit la banque, avant toute poursuite judiciaire ; la banque a alors la possibilité, dans le délai de trente jours, d’expliquer par écrit la nature et les circonstances de la violation, ainsi que les actions prises pour y remédier (cf. supra let. A.f). Cela étant, au plus tard au moment de cette interpellation, la banque a (objectivement) la possibilité d’apporter la preuve (au degré de la certitude) (cf. récemment TF du 22 août 2018, 4A_174/2018, consid. 3.4).
Le grief est infondé et, l’existence d’un risque de dénonciation et/ou d’inculpation n’ayant pas été démontrée, il est superflu d’examiner les autres critiques de la banque visant la prétendue intensification du litige fiscal avec les États-Unis (risque subséquent).
3.5 Il reste à déterminer si, comme le soutient la banque, la communication des données est, pour elle, indispensable à la constatation, à l’exercice ou à la défense d’un droit en justice (art. 6 al. 2 let. d deuxième hypothèse LPD).
Il n’y a à cet égard pas lieu de se demander, comme le fait la recourante, si la procédure menée devant le DoJ peut être considérée, pour la banque, comme « la défense d’un droit en justice ». Il suffit ici de relever que la communication des données doit aussi être indispensable pour constater, exercer ou défendre un droit en justice. Sur ce point, la cour cantonale renvoie d’ailleurs à sa motivation, fournie sous l’angle de l’art. 6 al. 2 let. d 1ère hypothèse LPD, niant le caractère indispensable de la communication. Or, la banque n’a jamais prétendu, ni dans son appel, ni dans son recours en matière civile, que le caractère indispensable de la communication aurait une signification différente dans les deux hypothèses de l’art. 6 al. 2 let. d LPD.
La prémisse sur laquelle se fonde la recourante (le caractère indispensable de la communication des données) ayant été écartée (cf. supra consid. 3.3), son argumentation en rapport avec la seconde hypothèse de l’art. 6 al. 2 let. d LPC se révèle sans consistance.
Le moyen est également infondé.
3.6 […]
4. Il résulte des considérations qui précèdent que le recours en matière civile doit être rejeté.
Fu