Entre

A______, ayant son siège ______, ______, appelante d'un jugement rendu par la 7ème Chambre du Tribunal de première instance de ce canton le 24 octobre 2013, comparant par Me Pierre-Yves Gunter et Me Michèle Burnier, avocats, rue François-Bellot 6, 1206 Genève, en l'étude desquels elle fait élection de domicile,

et

B______, domiciliée rue ______, ______ Genève, intimée, comparant par Me Douglas Hornung, avocat, rue du Général-Dufour 22, case postale 5539, 1211 Genève 11, en l'étude duquel elle fait élection de domicile.

Statuant le 15 juillet 2011 sur recours (ATF 137 II 431), le Tribunal fédéral a confirmé la décision de la FINMA, considérant que celle-ci était fondée, d'entente avec le Conseil fédéral, à ordonner un tel mode de communication de données sur la base de la clause générale de police, en vue de la sauvegarde d'un bien juridique fondamental, à savoir le bon fonctionnement du système économique.

c. En 2010, les autorités américaines ont ouvert des enquêtes contre onze autres banques suisses, dont A______, qu'elles soupçonnaient d'avoir aidé des clients américains à se soustraire à leurs obligations fiscales ainsi que d'avoir contrevenu à la réglementation applicable lors des contacts intervenus avec lesdits clients. Elles ont requis l'entraide administrative de la Suisse en vue d'obtenir des renseignements sur les activités des banques visées aux Etats-Unis.

A______ et les autres banques ont transmis les documents requis aux autorités américaines, par la voie de l'entraide, après avoir, sur requête de la FINMA, caviardé les informations permettant l'identification d'un client et remplacé les données de ses employés, de ses ex-employés et des tiers par des codes.

d. Le 9 décembre 2011, les autorités américaines ont demandé aux banques visées de leur transmettre un certain nombre de documents complémentaires - entre autres les documents identifiant les employés qui avaient voyagé aux Etats-Unis ou qui y avaient été établis pour communiquer avec des clients américains -, si elles voulaient éviter une inculpation.

Le 18 janvier 2012, le Conseil fédéral a décidé que, provisoirement, seules devaient être transmises aux autorités américaines, dans le cadre de l'entraide, des données codées concernant les employés, dans la mesure où l'immunité de ces derniers n'était pas garantie.

e. Au début du mois de février 2012, les autorités américaines ont procédé à l'inculpation de la banque D______.

f. Mi-mars 2012, craignant une telle issue à leur sujet, plusieurs banques ont demandé au Conseil fédéral d'autoriser la communication des informations exigées, comprenant le nom des employés et des tiers.

Le 4 avril 2012, le Conseil fédéral a autorisé les banques concernées, si la défense de leurs intérêts l'exigeait, à transmettre directement aux autorités américaines des données non anonymisées, à l'exception de celles concernant les clients. Cette décision indiquait valoir autorisation au sens de l'art. 271 CP à procéder sur le territoire suisse pour le compte d'un Etat étranger à des actes relevant des pouvoirs publics. L'appréciation de la responsabilité civile des banques demeurait cependant du ressort de ces dernières.

Le 11 avril 2012, la FINMA a recommandé aux banques concernées de coopérer avec les autorités américaines dans le cadre des possibilités offertes par le Conseil fédéral, en précisant que la procédure d'entraide administrative était, de ce fait, suspendue.

g. Parallèlement à quatre autres banques, A______, sans en avertir les employés concernés, a transmis aux autorités américaines un certain nombre de documents comportant notamment les noms, prénoms, adresses mails et numéros de téléphone d'employés et d'ex-employés, seules les données permettant d'identifier des clients étant restées anonymisées.

h. Le 27 avril 2012, B______, qui avait été transférée le 1^er mars 2012 au Desk sud-américain, a été informée par son supérieur hiérarchique de ce que son identité avait été communiquée aux autorités américaines.

B______ a indiqué avoir été anéantie par cette nouvelle. Son médecin lui a délivré un arrêt de travail de 100%.

Par courrier du 30 mai 2012, elle a reproché à A______ d'avoir enfreint son droit à la protection des données et le devoir de l'employeur de protéger la personnalité du travailleur. La rupture du lien de confiance rendait impossible toute collaboration future avec A______. Elle sollicitait une indemnité pour tort moral et une proposition pour mettre un terme d'un commun accord à son contrat de travail, moyennant une équitable indemnité.

i. Les parties se sont rencontrées à Genève les 5 et 20 juin 2012.

Le 20 juin 2012, B______ a reçu un courrier type daté du même jour l'informant de ce que son nom figurait sur certains documents transmis aux autorités américaines, à la suite d'une recherche électronique effectuée sur la base de son nom dans lesdits documents. Elle a requis, dans un courrier remis à la banque le même jour, une copie de l'intégralité des documents qui mentionnaient son nom et qui avaient été transmis aux autorités américaines.

Le 26 juin 2012, B______ et E______, responsable juridique de A______, ont convenu d'un rendez-vous le 5 juillet 2012 dans les locaux du service juridique de la banque à ______ afin que l'employée puisse consulter les documents la concernant.

Le 4 juillet 2012, E______ a indiqué à B______, qui l'avait informé venir accompagnée de son avocat, que A______ n'acceptait pas la présence de tierces personnes dans le cadre de "discussions régulières/ordinaires" entre employé et employeur, ceci d'autant moins que des documents internes et confidentiels allaient lui être présentés.

Le lendemain, B______ a informé la banque qu'il lui était impossible de se présenter à ______ le jour même. Elle n'a pas donné suite à la proposition d'E______ de fixer un nouveau rendez-vous.

Le 14 juillet 2012, B______ a notamment reproché à A______ de ne pas lui avoir donné la possibilité de s'opposer à la transmission de son nom aux autorités américaines et de ce que sa liberté de mouvement était limitée de manière importante, son employeur lui ayant recommandé de ne pas voyager aux Etats-Unis. Elle a déclaré démissionner pour justes motifs à partir du jour où son médecin l'autoriserait à reprendre son travail, puisqu'il ne pouvait pas lui être garanti qu'elle n'aurait en aucune manière à traiter avec des clients non déclarés.

j. Le 17 août 2012, le Préposé fédéral à la protection des données et à la transparence (ci-après : PFPDT) a ouvert une procédure d'éclaircissement au sens de l'art. 29 de la loi sur la protection des données du 19 juin 1992 (LPD; RS 235.1), afin de vérifier si les principes de ladite loi avaient été respectés dans le cadre de la transmission de données par les banques suisses aux autorités américaines. Il a invité les banques à ne pas transmettre, dans l'intervalle, de nouvelles données en dehors d'une procédure d'entraide administrative ou judiciaire.

A______ s'est engagée dans ce sens.

Le 4 septembre 2012, le PFPDT a exhorté les banques à adopter une attitude transparente vis-à-vis de leurs employés. Elles étaient tenues de les informer avant toute transmission de documents aux autorités américaines contenant leur nom et de leur communiquer la catégorie de documents et la période concernées. Les banques devaient en outre garantir à leurs employés un délai raisonnable pour consulter les documents à transmettre et faire valoir leurs droits. Elles restaient au demeurant civilement responsables de la transmission de telles données.

Le 6 septembre 2012, les banques se sont engagées à respecter ce procédé.

k. Par courrier du 5 septembre 2012, le conseil de B______ a informé A______ du fait que sa mandante résiliait pour juste motif son contrat de travail et réclamait une indemnité équivalente à six mois de salaire.

l. Le 15 octobre 2012, le PFPDT a adressé des recommandations à plusieurs banques, parmi lesquelles A______.

l.a Selon les recommandations faites à la précitée, en ce qui concernait les transmissions de données déjà exécutées, la banque accordait aux personnes concernées (collaborateurs actuels et anciens, ainsi que tiers externes) le droit d'accès à ces données selon l'art. 8 LPD (ch. 1 des recommandations).

Le PFPDT a relevé que la banque avait pour pratique de ne remettre aucune copie des documents transmis aux autorités américaines, contrairement à la règle prévue par l'art. 8 al. 5 LPD. Cela relevait cependant des modalités du droit à l'information selon l'art 1 de l'ordonnance relative à la LPD du 14 juin 1993 (OLPD; RS 235.11). Conformément à l'al. 3 de cette disposition, d'entente avec le détenteur des documents ou sur proposition de celui-ci, la personne concernée pouvait consulter les données sur place. La banque faisait valoir que des copies des documents ne pouvaient être remises au vu de leur sensibilité liée au secret bancaire et à celui de la clientèle, ainsi que de ses propres règles de sécurité. Le PFPDT a adhéré à cette argumentation, dans la mesure où l'art. 8 LPD visait avant tout l'accès de la personne concernée à toutes les informations et documents la touchant. Les autres principes légaux applicables comme le secret bancaire s'opposaient parallèlement à la remise de copies, laquelle, en outre, était en principe exclue par le contrat des collaborateurs ainsi que les directives internes de la banque, interdisant aux employés d'emporter des documents de la banque chez eux.

l.b En ce qui concernait la transmission future de données aux autorités américaines, les recommandations du PFPDT prévoyaient l'information préalable des personnes concernées, conformément à l'art 4 al. 2 et 4 LPD, au sujet de l'étendue et du genre de documents qui devraient être transmis, ainsi que de la période à laquelle ils avaient trait (ch. 2.1).

La banque devait préalablement accorder un délai suffisant aux personnes concernées pour leur permettre d'exercer leur droit à l'information selon l'art. 8 LPD (ch. 2.2).

Si l'une d'elles s'opposait à la transmission des données comportant son nom, la banque devait procéder à une pesée des intérêts, et, dans le cas où elle souhaitait néanmoins procéder à la transmission sans anonymisation, elle était tenue d'en informer la personne concernée et de la renseigner au sujet de ses droits (ch. 2.3).

l.c La banque ne s'est pas opposée aux recommandations du PFPDT, qui ont été publiées le 13 novembre 2012.

m. Le 15 novembre 2012, A______ a informé B______ de ce qu'une nouvelle transmission de documents était prévue, à savoir des courriels internes (y compris les fichiers joints) portant sur des clients domiciliés aux Etats-Unis, ainsi que sur des activités transfrontalières avec les Etats-Unis en général. Les rapports et procès-verbaux en relation avec ces courriels seraient également transmis. Ces documents d'affaires dataient tous d'une période allant d'octobre 2002 à juillet 2011. Toute information permettant d’identifier des clients avait été rendue illisible.

Le 19 novembre 2012, A______ a indiqué à B______ que son nom figurait de manière limitée dans les documents à transmettre, soit dans moins de dix documents.

Le conseil de B______ a informé A______, par courrier du 20 novembre 2012, qu'il accompagnerait sa mandante lors de la consultation des documents, le 29 novembre 2012, et que celle-ci souhaitait par ailleurs lever des copies.

A______ s'est opposée, le 22 novembre 2012, à la présence d'un avocat ainsi qu'à la remise de copies des documents, en précisant que le procédé qu'elle avait prévu et qui excluait ces possibilités n'avait pas été critiqué par le PFPDT.

Le 27 novembre 2012, A______ a remis à B______ une description des sept documents devant être transmis aux autorités américaines, précisant qu'elle pouvait les consulter à ______.

Par courriers des 24 et 30 novembre 2012, B______ s'est opposée à la transmission de ces documents aux autorités américaines, exigeant de pouvoir en obtenir une copie.

Aucun accord n'ayant pu être trouvé, B______ n'a pas consulté les documents litigieux.

Par courrier du 20 décembre 2012, A______ a informé B______ que les documents seraient transmis aux autorités américaines, dès lors que l'intérêt public relatif à une coopération non limitée de A______ était prépondérant.

Par ordonnance sur mesures superprovisionnelles du 11 janvier 2013, le président du Tribunal de première instance a fait interdiction à A______ de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, des informations ou des documents comportant le nom et/ou des données ou informations relatives à B______ et/ou pouvant l'identifier, sous menace de la peine prévue par l’article 292 CP.

Par ordonnance sur mesures provisionnelles du 21 juin 2013, confirmée par arrêt de la Cour de justice du 13 décembre 2013 (C/225/2013), le président du Tribunal de première instance a fait interdiction à A______ de transmettre, communiquer ou porter à la connaissance de tiers ou d'Etat tiers, de quelque manière que ce soit et sur quelque support que ce soit, les documents listés dans les courriers de A______ au conseil de B______ des 27 novembre 2012 et 25 janvier 2013, sous la menace de la peine prévue par l'article 292 CP.

n. Entretemps, les 25 janvier et 24 mai 2013, A______ a informé B______ que deux nouvelles transmissions de documents d'affaires internes aux autorités américaines étaient prévues et qu'elle était concernée.

La première transmission portait sur divers rapports de direction sous forme de présentation PowerPoint dans lesquels le nom de B______ figurait en tant qu'une des assistantes du responsable du Desk nord-américain, ainsi que des échanges d'emails entre divers employés du bureau US et un avocat américain au sujet d'un client qui demandait des déclarations fiscales. La seconde transmission concernait essentiellement des courriels (y compris les fichiers joints) portant sur des clients domiciliés aux Etats-Unis, ainsi que des documents liés aux activités transfrontalières avec les Etats-Unis en général et aux projets en rapport avec celles-ci; ces documents dataient de la période allant de janvier 2000 à juin 2011.

B______ pouvait venir consulter ces documents dans les bureaux de la banque à ______, étant rappelé que la présence d'un avocat n'était pas autorisée, sauf dans les cas d'employés faisant l'objet d’une procédure aux Etats-Unis.

La banque a en outre indiqué qu'elle respecterait la décision rendue par le Tribunal de première instance le 11 janvier 2013 dans la cause C/225/2013 et qu'aucun document ne serait transmis tant que cette décision serait en force.

o. Le 31 mai 2013, A______ a adressé à B______ une liste détaillée des documents visés dans son courrier du 24 mai 2013. Elle l'a invitée à lui indiquer, avant le 7 juin 2013, si elle souhaitait consulter ces documents auprès du service juridique de la banque à ______, la présence de son avocat n'étant pas autorisée.

Le 4 juin 2013, B______ a répondu à A______ qu'elle n'irait pas consulter les documents à ______ sans son avocat et qu'elle entendait en obtenir une copie.

p. Le 20 juin 2013, le PFPDT a émis une note à l'attention des banques suisses sur la transmission des données personnelles aux autorités américaines, rappelant en substance les principes figurant dans ses recommandations du 15 octobre 2012.

q. Le 3 juillet 2013, le Conseil fédéral a fixé les principes de coopération des banques suisses avec les autorités américaines en vue de régler leur différend fiscal, et il a donné la possibilité aux banques de demander une autorisation individuelle au sens de l'art. 271 CP.

Il a notamment précisé, dans ce cadre, qu'une telle autorisation excluait uniquement une punissabilité en vertu de cette disposition. Elle ne dispensait cependant pas du respect des autres dispositions du droit suisse, notamment de la prise en compte du secret d'affaires et du secret bancaire existants, des dispositions sur la protection des données et des obligations de l'employeur. Elle autorisait ainsi la coopération avec les autorités américaines uniquement dans le cadre de la législation suisse.

r. Le 11 mars 2014, à la demande de B______, le PFPDT a précisé que ses recommandations du 15 octobre 2012 n'excluaient pas d'emblée le droit de l'employé d'obtenir une copie des documents communiqués. Les modalités d'exercice du droit d'accès étaient réglées par la loi sur la protection des données et son ordonnance.

C. a. Par acte du 14 décembre 2012, agissant au bénéfice d'une autorisation de procéder du 20 novembre 2012, B______ a saisi le Tribunal de première instance d'une requête contre A______.

Elle y a conclu à ce qu'il soit ordonné à la banque de lui remettre, sous forme informatisée et dans les cinq jours ouvrables, copie des documents suivants : (a) l'intégralité de tous les documents, fichiers, profils et autres, la concernant, tels qu'ils avaient été communiqués aux autorités américaines; (b) la date de cette communication et la lettre d'accompagnement; (c) tous documents fixant les critères de sélection la désignant comme devant faire partie des employés ou ex-employés figurant sur les documents ainsi communiqués; (d) l'autorisation du Conseil fédéral du 4 avril 2012 et la recommandation de la FINMA du 14 avril 2012, ainsi que toutes correspondances, notes (à l'exception des notes purement personnelles), résumés, synthèses, entretiens téléphoniques échangés entre A______ et les autorités fédérales qui avaient permis d'obtenir l'accord du 4 avril 2012 et/ou la recommandation de la FINMA du 14 avril 2012; (e) la demande américaine de fournir les informations, fichiers et données communiqués, ainsi que tous échanges de correspondances, mails, notes (à l'exception des notes purement personnelles), résumés, synthèses, entretiens téléphoniques concernant cette demande, qu'ils soient postérieurs ou antérieurs à la demande américaine; (f) les extraits de tous les procès-verbaux du conseil d'administration de A______ traitant de la question de - ou approuvant - la transmission de données personnelles et confidentielles, aux Etats-Unis, des employés ou des ex-employés; (g) pour l'avenir, tous échanges de correspondances, mails, résumés, synthèses, notes, notes d'entretiens téléphoniques que A______ aurait avec les autorités suisses ou américaines relatifs, directement ou indirectement, aux correspondances que B______ avait envoyées à A______ les 30 mai, 20 juin , 26 juin et 4 juillet 2012 ou à sa requête.

B______ a également conclu à ce que le Tribunal ordonne, nonobstant appel ou recours, la publication de l'intégralité du jugement, au frais de A______, sans son nom ni son adresse, dans quatre journaux suisses, soit deux journaux suisses romands et deux journaux suisses allemands (en traduction allemande), et dans quatre journaux américains (en traduction anglaise), à son choix et aux frais de la banque, sous la menace des sanctions prévues à l'article 292 CP.

b. A la demande de A______, par ordonnance du 25 mars 2013, les parties ont été invitées à se déterminer sur la question de la procédure applicable.

Dans ses écritures du 11 avril 2013, B______ a limité ses conclusions à la production de la copie des données communiquées aux autorités américaines et a conclu à l'application de la procédure simplifiée.

Dans ses écritures du 30 avril 2013, comportant 7 pages, A______ a notamment conclu à l'application de la procédure ordinaire. Après avoir reçu les écritures de B______ du 11 avril 2013, A______ a indiqué, par courrier du 3 mai 2013, que la procédure simplifiée était applicable, B______ ayant limité ses conclusions au droit d'accès.

A______ a conclu à ce que B______ soit condamnée au frais de l'incident, du fait que ceux-ci auraient pu être évités par un comportement procédural conforme aux règles de la bonne foi. Elle a produit à cet effet un état de frais de 4'400 fr. (soit 11 heures à 400 fr.).

c. Le 21 juin 2013, A______ a conclu au rejet de la requête, avec suite de frais et de dépens, y compris ceux relatifs à l'incident de procédure.

Elle a indiqué qu'après avoir signé une déclaration de confidentialité, les employés pouvaient consulter les documents les concernant aussi longtemps qu'ils le souhaitaient, venir les consulter à plusieurs reprises, obtenir les numéros de références des documents en question et prendre des notes. Les documents n'étaient pas caviardés et une personne était à leur disposition pour répondre à leurs questions. En cas de procédure pénale américaine dirigée contre un employé ou un ex-employé, celui-ci pouvait consulter les documents avec son avocat. Les données des clients figurant dans les documents étaient alors caviardées.

d. Lors de l'audience de débats du 9 juillet 2013, B______ a précisé persister dans ses conclusions figurant dans sa demande sous chiffre 1 lettre a et b et demandé la condamnation de la banque en tous les dépens.

e. Les parties ont au surplus été entendues par le Tribunal.

A______ a exposé qu'approximativement plus de 100 documents comportant le nom de B______ avaient été transmis aux autorités américaines. Il y avait eu plusieurs transmissions.

B______ a précisé souhaiter obtenir une copie des documents transmis aux autorités américaines pour pouvoir se défendre si ces dernières venaient à engager des poursuites à son encontre, ainsi que pour pouvoir étayer sa demande contre son employeur devant le Tribunal des prud'hommes. Elle n'était pas opposée à ce que la banque lui remette une copie des documents avec les données des clients, des collaborateurs, des ex-collaborateurs et des tiers caviardées.

f. Le 17 juillet 2013, la cause a été gardée à juger.

D. a. Dans le jugement entrepris, le Tribunal a considéré que les documents dont une copie était demandée par B______ contenaient des données personnelles de cette dernière et que, dans la mesure où ils avaient fait l'objet d'une communication aux autorités américaines et que la requête de l'ex-employée n'était pas abusive, un droit d'accès auxdits documents devait lui être assuré.

Les motifs de refus ou de restriction d'un tel droit invoqués par la banque étaient infondés.

Tout d'abord, A______ ne pouvait invoquer le secret bancaire, puisque les données permettant d'identifier les clients avaient été caviardées, ni le secret commercial, celui-ci ne protégeant que le secret que son maître a confié à une personne qui est tenue, en vertu de la loi ou d'un contrat, de ne pas rendre accessible à un tiers.

Ensuite, la banque n'était pas fondée à invoquer l'intérêt prépondérant d'un tiers, car elle n'avait pas démontré que les données de tiers figurant dans les documents en cause ne pourraient pas être protégées par le caviardage de leur nom et des informations permettant de les identifier.

Enfin, elle ne pouvait pas se prévaloir de ses propres intérêts, dès lors qu'elle avait déjà accepté de communiquer les documents en cause aux autorités américaines à titre volontaire.

Ainsi, en définitive, la seule restriction exigible était l'anonymisation par la banque des données concernant des tiers, nécessité qui n'était pas contestée.

Au surplus, l'opposition de A______ à la règle selon laquelle l'accès aux données devait être donné sous la forme d'une copie des documents en cause n'était pas fondée. Aucune circonstance particulière ne justifiait en effet une dérogation à ce principe.

La banque ne pouvait pas invoquer le risque que les documents soient mis en circulation dans la mesure où elle les avait déjà remis aux autorités américaines sans obtenir un engagement de confidentialité de celles-ci, lesquelles n'étaient pas non plus soumises à une législation assurant un niveau de protection adéquat des données personnelles. Il ne lui appartenait en outre pas de décider du moyen de consultation le plus approprié.

Enfin, le Tribunal a considéré que B______ n'avait pas renoncé à son droit de recevoir une copie écrite des documents en cause en se soumettant aux règlements internes de la banque, interdisant notamment aux employés d'emmener des documents confidentiels chez eux, dès lors qu'elle ne pouvait savoir, à ce moment-là, que des données la concernant seraient transmises aux autorités américaines.

b. L'argumentation des parties devant la Cour sera reprise ci-après dans la mesure utile.

1. 1.1 Le présent appel est dirigé contre une décision finale (art. 308 al. 1 let. a CPC), rendue dans le cadre d'un litige concernant le droit d'accès à des données personnelles (art. 8 LPD), soit une affaire de nature non pécuniaire (art. 308 al. 2 CPC "a contrario"; arrêts du Tribunal fédéral 5C.242/2003 du 20 février 2004 consid. 1 et 5C.15/2001 du 16 août 2001 consid. 1).

Déposé au surplus en temps utile et selon la forme prescrite (art. 130, 131 et 311 CPC), il est recevable.

1.2 L'instance d'appel revoit la cause en fait et en droit avec un plein pouvoir d'examen (art. 310 CPC) et la procédure simplifiée est applicable (art. 15 al. 4 LPD).

2. La Cour est compétente à raison de la matière (art. 9 LaCC et 120 al. 1 let. a LOJ) et du lieu, l'intimée étant domiciliée à Genève (art. 20 let. d CPC).

3. 3.1 Aux termes de l'art. 317 al. 1 CPC, les faits et moyens de preuve nouveaux ne sont pris en compte que s'ils sont invoqués ou produits sans retard (a) et s'ils ne pouvaient être invoqués ou produits devant la première instance bien que la partie qui s'en prévaut ait fait preuve de la diligence requise (b).

Cette disposition trouve également application lorsque la cause est régie par la procédure simplifiée (arrêt du Tribunal fédéral 4A_228/2012 du 1^er octobre 2012, consid. 2.2).

3.2 En l'espèce, l'intimée produit avec sa réponse à l'appel une chronologie concernant le contentieux fiscal entre les banques suisses et les autorités américaines (pièce 22), couvrant des faits essentiellement antérieurs à la fin des débats de première instance. Dans la mesure où l'intimée n'explique pas en quoi elle aurait été empêchée de produire ce document par-devant le premier juge, celui-ci est irrecevable.

Les documents 23 à 35a produits par l'intimée, tous postérieurs à la fin des débats de première instance, sont recevables.

En revanche, les deux décisions de justice du 23 mai 2014, transmises à la Cour après la mise en délibération de la cause, sont irrecevables.

4. 4.1 Selon la LPD, les "données personnelles" consistent en toutes informations se rapportant à une personne identifiée ou identifiable (art. 3 let. a LPD) et le "traitement" en toute opération relative à des données personnelles - quels que soient les moyens et procédés utilisés - notamment la collecte, la conservation, l'exploitation, la modification, la communication, l'archivage ou la destruction de données (art. 3 let. e LPD). La communication consiste dans le fait de rendre des données personnelles accessibles, par exemple en autorisant leur consultation, en les transmettant ou en les diffusant (art. 3 let. f LPD). Le maître du fichier désigne l'organe fédéral ou la personne privée qui décide du but et du contenu du fichier, correspondant à l'ensemble des données personnelles dont la structure permet de rechercher les données par personne concernée (art. 3 let. g et i LPD).

Toute personne peut demander au maître d'un fichier si des données la concernant sont traitées (art. 8 al. 1 LPD). Ce dernier doit lui communiquer (a) toutes données la concernant qui sont contenues dans le fichier, y compris les informations disponibles sur l'origine des données ainsi que (b) le but et éventuellement la base juridique du traitement, les catégories de données personnelles traitées, de participants au fichier et de destinataires des données (art. 8 al. 2 LPD).

4.2 En l'espèce, l'appelante a transmis des documents aux autorités américaines comportant le nom de l'intimée et d'autres éléments comme son adresse email professionnelle, son numéro de téléphone professionnel, sa fonction, la description détaillée de son activité au sein de la banque. Des données personnelles de l'intimée ont ainsi été traitées par l'appelante. Il n'est pas contesté que cette dernière est par conséquent un maître du fichier au sens de l'art. 8 al. 1 LPD. L'intimée a ainsi un droit d'accès aux documents.

Le premier juge a ordonné à l'appelante de remettre à l'intimée une copie des documents transmis aux autorités américaines comportant des informations l'identifiant, en autorisant, ce qui n'était pas litigieux, le caviardage des noms des clients, des (ex-)collaborateurs et des tiers y figurant.

5. Se fondant sur un avis de droit rédigé à sa demande par F______ le 21 juin 2013, ainsi que sur les recommandations du PFPDT, l'appelante s'oppose à la remise d'une copie des documents litigieux en faisant valoir le secret bancaire (art. 9 al. 1 let. a LPD) ainsi que ses propres intérêts (art. 9 al. 4 LDP).

5.1 Le droit d'accès est l'institution-clef de la protection des données. Sans ce droit d'accès, la personne concernée ne serait pas en mesure de faire valoir effectivement ses prétentions en matière de protection des données. Les renseignements fournis doivent être exacts et complets. L'octroi de renseignements partiels n'est admissible que si la loi le prévoit ou si la personne concernée a expressément déclaré s'en contenter (Message du Conseil fédéral concernant la LPD, FF 1988 II 421 p. 460).

Les motifs de restrictions au droit d'accès sont énumérés de manière exhaustive par l'art. 9 LPD au vu de la nature strictement personnelle du droit d'accès. Cette disposition doit être interprétée limitativement; en d'autres termes, le droit d'accès ne doit être restreint que si cela est vraiment indispensable (Message du Conseil fédéral concernant la LPD, FF 1988 II 421 p. 462).

5.2 L'appelante soutient devoir refuser la remise des documents à l'intimée, dans la mesure où celle-ci pourrait les utiliser en vue d'une divulgation des données sur les clients de la banque. Contrairement aux autorités américaines, l'intimée possède des connaissances préalables lui permettant d'identifier les clients concernés en dépit du caviardage. Ainsi, elle pourrait non seulement divulguer des données protégées par le secret bancaire à des tiers, mais également les prouver. Sur tous les documents contenant des informations sur des clients que l'intimée pourrait identifier, l'appelante se verrait ainsi contrainte, en plus des caviardages déjà existants, de censurer toutes les autres indications se référant à ces clients, ce qui reviendrait à un caviardage quasi complet, lequel contreviendrait au droit d'accès de l'intimée. A son avis, une consultation des documents sans caviardage dans ses locaux permettrait à l'intimée d'exercer son droit d'accès de manière plus appropriée.

5.2.1 Le maître du fichier peut refuser ou restreindre la communication des renseignements demandés, voire en différer l'octroi, (a) si une loi au sens formel le prévoit ou (b) si les intérêts prépondérants d'un tiers l'exigent (art. 9 al. 1 LPD).

Aux termes de l'art. 47 al. 1 et 2 de la Loi sur les banques (LB; RS 952.0), est puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire celui qui, intentionnellement a) en sa qualité d'organe, d'employé, de mandataire ou de liquidateur d'une banque, ou encore d'organe ou d'employé d'une société d'audit, révèle un secret à lui confié ou dont il a eu connaissance en raison de sa charge ou de son emploi; b) incite autrui à violer le secret professionnel. Si l'auteur agit par négligence, il est puni d'une amende de 250'000 fr. au plus.

5.2.2 En l'espèce, les documents remis aux autorités américaines ne contiennent plus aucune donnée de clients de la banque, celle-ci ayant caviardé tous les éléments permettant de les identifier afin de respecter la décision du Conseil fédéral du 4 avril 2012. Ces documents ne comportent ainsi plus aucune donnée protégée par le secret bancaire, de sorte que l'art. 47 LB ne saurait être invoqué pour refuser la communication desdits documents à l'intimée.

On ne saurait par ailleurs suivre le raisonnement de l'appelante qui considère la remise des documents caviardés comme constituant une violation du secret bancaire, mais admet toutefois un droit de l'intimée de venir consulter ces mêmes documents, sans aucun caviardage, dans ses locaux. Si l'intimée pourrait potentiellement reconstituer les éléments caviardés sur la base de ses souvenirs et connaissances, les documents en sa possession ne lui permettraient néanmoins pas de prouver l'exactitude d'éventuelles divulgations des données à des tiers.

Cet argument de l'appelante doit donc être écarté.

Au demeurant, l'appelante ne fait, à juste titre, plus valoir, devant la Cour, l'intérêt de ses collaborateurs, anciens ou actuels, voire celui d'autres tiers, pour fonder son opposition à la remise d'une copie des documents (art. 9 al. 1 let. b LPD). Un tel moyen aurait dû en effet être rejeté, dès lors que l'appelante a été autorisée par le premier juge à anonymiser les éléments permettant d'identifier ses (ex-)
collaborateurs et les tiers.

5.3 Selon l'appelante, le Tribunal a retenu à tort qu'elle avait procédé à une communication volontaire des données de l'intimée aux autorités américaines. Cette communication lui avait été imposée vu l'urgence et l'importance des pressions exercées par les Etats-Unis. L'appelante était donc en droit d'invoquer un intérêt prépondérant justifiant le refus de remettre une copie des documents à l'intimée, l'introduction d'une procédure pénale à son encontre lui faisant courir un risque notoire pour sa réputation et sa solvabilité (art. 9 al. 4 LPD).

5.3.1 Selon l'art. 9 al. 4 LPD, un maître de fichier privé peut refuser ou restreindre la communication des renseignements demandés ou en différer l'octroi, dans la mesure où ses intérêts prépondérants l'exigent et à condition qu'il ne communique pas les données personnelles à un tiers.

L'intérêt du maître du fichier ne doit pas simplement paraître digne de protection, mais il doit l'emporter sur l'intérêt du requérant (MEIER, Protection des données, 2011, n. 1142).

L'art. 9 al. 4 LPD concerne avant tout le secteur privé. Ainsi, un grand magasin peut refuser l'accès au registre des clients suspectés de vol. Un maître de fichier qui craint que le requérant ne s'adonne à l'espionnage économique peut également s'opposer à l'accès (Message du Conseil fédéral concernant la LPD, FF 1988 II 421 p. 463).

Certains auteurs sont d'avis que le maître du fichier est privé de faire valoir son intérêt propre seulement lorsqu'il a communiqué des données de la personne concernée sur une base volontaire, ce qui exclut le cas où il y a procédé sur injonction de l'autorité. Admettre le contraire consacrerait une solution disproportionnée, en ce sens qu'elle exclurait que le maître, auparavant contraint de communiquer des données, puisse faire valoir ses intérêts, alors que l'y autoriser permettrait de procéder à une pesée desdits intérêts avec ceux de la personne concernée, accrus par la communication - non volontaire - à des tiers (MONNIER, Le droit d'accès aux données personnelles traitées par un média, 1999, pp. 210 à 212; PIOTET et RAPP, La nouvelle loi fédérale sur la protection des données, Cedidac 1994, pp. 234 ss; contra : WALTER et PAGE, ibidem; DUBACH, Kommentar zum schweizerischen Datenschutzgesetz, 1995, n. 32 ad art. 9 LPD (renseignements donnés à la police)).

5.3.2 En l'espèce, la communication antérieure des documents aux autorités américaines exclut la possibilité pour l'appelante de se prévaloir de son propre intérêt supérieur, qui n'a plus d'objet, selon une interprétation littérale de l'art. 9 al. 4 LPD.

L'avis contraire de la banque - fondé sur une interprétation de la disposition précitée selon laquelle il doit être tenu compte uniquement d'une telle communication à titre volontaire et sur le fait qu'elle n'aurait précisément pas agi volontairement - doit être rejeté au double motif suivant.

En premier lieu, la banque n'a certes pas communiqué les documents en cause aux autorités américaines à bien plaire, mais pour éviter de possibles poursuites judiciaires aux Etats-Unis. Elle a, au surplus, agi au bénéfice de l'autorisation du Conseil fédéral du 4 avril 2012 et conformément aux recommandations de la FINMA du 11 avril suivant. L'appelante ne démontre cependant pas avoir été soumise à une obligation légale, résultant du droit suisse ou américain, de communiquer les documents, de surcroît sous une forme non anonymisée en ce qui concernait l'intimée. Il apparaît au contraire qu'elle a donné suite aux requêtes des autorités américaines avant tout dans le but de sauvegarder ses propres intérêts, soit pour éviter les conséquences préjudiciables résultant d'éventuelles poursuites judiciaires et se donner la possibilité de négocier.

En deuxième lieu, il est vrai que l'interprétation faite par l'appelante de l'art. 9 al. 4 LPD peut s'appuyer sur une partie de la doctrine, considérant qu'une communication antérieure de données personnelles sur une base obligatoire ne doit pas interdire au maître du fichier d'opposer son intérêt propre à l'accès aux mêmes données.

La Cour n'adhérera toutefois pas en l'espèce à une interprétation élargie de l'art. 9 al. 4 LPD, compte tenu de l'importance du droit d'accès consacré à l'art. 8 LPD et de la nécessité qui en découle, confirmée par le Message du Conseil fédéral y relatif, d'interpréter limitativement les motifs de refus et de restriction prévus à l'art. 9 LPD (cf. supra consid. 5.1).

La banque ayant fait le choix de communiquer les données en cause aux autorités américaines, qui plus est sans obtenir de garanties au sujet d'une limitation de leur utilisation et de leur diffusion, elle ne peut plus opposer son intérêt propre au droit d'accès de l'intimée.

5.3.3 En tout état de cause, même à admettre la prise en considération des intérêts propres de l'appelante, le moyen qui en est tiré devrait être rejeté au motif que de tels intérêts, par hypothèse concrets, ne l'emportent pas sur ceux de l'intimée.

Cette dernière peut en effet se prévaloir du besoin non seulement de prendre connaissance, mais également d'être en possession des documents transmis aux autorités américaines, pour, d'une part, avec l'assistance d'un conseil si nécessaire, évaluer les chances d'être inquiétée ou simplement sollicitée par les autorités américaines, le cas échéant pour se défendre, et, d'autre part, pour évaluer l'opportunité d'assigner la banque en responsabilité dans le cadre civil, le cas échéant pour constituer un dossier contre cette dernière. Il est rappelé à cet égard que l'autorisation du Conseil fédéral du 4 avril 2012, tout comme celle octroyée à d'autres banques à partir du 3 juillet 2013, n'a pas exempté les établissements concernés d'une éventuelle responsabilité civile ni, de manière plus générale, de leurs obligations à l'égard de leurs (ex-)employés.

Compte tenu de ce qui précède, c'est en vain que la banque argue du fait que les documents litigieux constitueraient de simples documents de travail, qu'ils ne concerneraient de ce fait que très indirectement l'intimée et ne contiendraient aucune donnée sensible à son égard.

Par ailleurs, en ce qui concerne le risque que l'intimée divulgue les documents en dehors d'une procédure judiciaire, ainsi que l'a relevé le Tribunal, il est relativisé par les obligations de l'intimée vis-à-vis de son ancien employeur, en particulier celles relatives au secret bancaire, lesquelles l'exposeraient le cas échéant à des poursuites pénales.

Les intérêts de l'appelante sont ainsi limités au risque précité, de sorte que même dans l'hypothèse où la banque serait fondée à s'en prévaloir, ces intérêts ne sont pas prépondérants.

6. L'appelante soutient encore que la remise ou non de copies n'est pas une question relevant des motifs de restriction mais des modalités du droit d'accès, lesquelles ne sont pas énumérées par la loi de manière exhaustive.

6.1 Les renseignements sont, en règle générale, fournis gratuitement et par écrit, sous forme d'imprimé ou de photocopie, sous réserve des exceptions prévues par le Conseil fédéral (art. 8 al. 5 LPD).

D'entente avec le maître du fichier ou sur proposition de celui-ci, la personne concernée peut également consulter ses données sur place. Si elle y a consenti et qu'elle a été identifiée, les renseignements peuvent également lui être fournis oralement (art. 1 al. 3 OLPD).

Cette disposition constitue la seule exception expresse au principe de la transmission écrite des données requises, et, selon le sens littéral de ladite exception, elle ne s'applique qu'avec le consentement de la personne intéressée. La question de savoir si d'autres exceptions peuvent être admises a été laissée ouverte par le Tribunal fédéral, avec la précision qu'il doit de toute manière s'agir de circonstances particulières, à invoquer par le maître du fichier, faisant apparaître la communication écrite inappropriée; le maître du fichier ne peut pas se prévaloir à cet égard de la seule charge administrative que représente une telle communication (ATF 125 II 321 consid. 3b; 123 II 534 consid. 3c).

La doctrine est d'avis qu'une dérogation doit également être admise lorsque les données personnelles n'ont pas été conservées sur papier ou ne sont pas imprimables. Dans un tel cas, le maître du fichier peut exceptionnellement imposer la remise d'une copie image ou audio, mais il n'a pas l'obligation de fournir une transcription écrite de l'enregistrement (MEIER, op. cit., n. 1078; GRAMIGNA/ MAURER-LAMBRU, Basler Kommentar, Datenschutzgesetz, 2006, 2^ème éd., n. 49 ad art. 8 LPD).

6.2 En l'espèce, l'application de l'une des deux exceptions expressément prévues par le Conseil fédéral au principe de la remise d'une copie écrite des documents (art. 1 al. 3 OLPD) est exclue par l'absence de consentement de l'intimée. On ne saurait retenir, contrairement à ce que soutient l'appelante, que l'intimée aurait renoncé à son droit de recevoir une copie des documents en acceptant de se soumettre au règlement de la banque qui interdit aux employés d'emporter des documents internes chez eux. La question de savoir si l'interdiction de renoncer à l'avance au droit d'accès (art. 8 al. 6 LPD) s'applique également à la renonciation de recevoir une copie écrite des documents communiqués peut rester indécise. En effet, au moment de la signature des contrats de travail, en 2008, 2009 et 2010, l'intimée ne pouvait penser de bonne foi que son employeur communiquerait aux autorités américaines ses données personnelles en lien avec les activités transfrontalières qu'elle exercerait pour son compte. La banque s'est d'ailleurs refusée, dans un premier temps, à remettre ces données hors de toute procédure d'entraide, avant d'y être autorisée en avril 2012 par le Conseil fédéral. Dans ces circonstances, on ne saurait, en tout état de cause, retenir que l'intimée aurait valablement renoncé, par l'acceptation du règlement interne de la banque, à son droit à une communication écrite.

La jurisprudence a laissé ouverte la possibilité d'envisager d'autres exceptions à la remise d'une copie écrite des documents, en précisant qu'il devait s'agir de circonstances particulières. La doctrine évoque à ce titre le cas de données contenues sur un support audio ou photographique, dont la personne concernée ne peut pas exiger une retranscription écrite. Le cas d'espèce ne concerne cependant pas une telle hypothèse. Non seulement les données en cause sont contenues sur un support papier, mais en outre, elles ont déjà été triées, réunies et même partiellement caviardées dans le cadre de leur transmission aux autorités américaines, ce qui exclut toute impossibilité ou difficulté disproportionnée d'ordre pratique liées à la remise d'une copie des documents à l'intimée.

L'argument de l'appelante sur ce point doit donc être rejeté.

7. L'appelante reproche également au Tribunal de s'être écarté des recommandations du PFPDT du 15 octobre 2012, en rappelant que lesdites recommandations ont cautionné, en ce qui concernait l'accès aux données déjà transmises aux autorités américaines, la forme de la simple consultation des documents sur place, compte tenu de leur sensibilité, des règles de sécurité de la banque, ainsi que du secret bancaire et des règles internes interdisant aux employés d'emporter des documents chez eux.

7.1 Le PFPDT établit les faits d'office ou à la demande de tiers notamment lorsqu'une méthode de traitement est susceptible de porter atteinte à la personnalité d'un nombre important de personnes (art. 29 al. 1 let. a LPD). Il peut ensuite recommander de modifier ou de cesser le traitement (art. 29 al. 3 LPD). Si la recommandation du préposé est rejetée ou n'est pas suivie, il peut porter l'affaire devant le Tribunal administratif fédéral pour décision. Il a qualité pour recourir contre cette décision (art. 29 al. 4 LPD). La recommandation du PFPDT n'acquiert toutefois pas la force de chose jugée, même si elle est acceptée par son destinataire (MEIER, op. cit., n. 1925; HUBER, Basler Kommentar, Datenschutzgesetz, 2006, 2^ème éd., n. 30 ad art. 29 LPD).

7.2 Les conclusions du PFPDT ne lient pas les juridictions civiles, faute de revêtir l'autorité de chose jugée. Elles ne sont au demeurant même pas obligatoires vis-à-vis de l'appelante, qui aurait pu les rejeter ou ne pas les suivre (art. 29 al. 4 LPD).

Comme vu ci-avant (cf. supra consid. 5.3.4), la Cour retient en l'espèce que les intérêts de la banque pris en considération par le PFPDT, pour autant qu'ils puissent être invoqués en dépit de ce que les documents ont déjà été communiqués à un tiers, ne doivent pas prévaloir sur ceux de l'intimée, expressément prévus par le droit de la protection des données, à recevoir une copie écrite des données traitées et ne justifient dès lors aucune restriction aux droits de cette dernière.

En ce qui concerne les intérêts des tiers, également pris en compte par le PFPDT, ils sont déjà suffisamment protégés par le caviardage des éléments permettant d'identifier ces derniers.

8. Au vu de ce qui précède, l'appelante n'est pas fondée à s'opposer à la remise d'une copie écrite des documents, conformément aux modalités définies par le Tribunal.

L'obligation supplémentaire prévue par le premier juge d'indiquer à quelles dates et à quelles autorités américaines les documents ont été transmis n'est au surplus pas contestée.

9. Reste alors à examiner la réparation des frais et dépens de première instance.

L'appelante se plaint de ce qu'elle a été condamnée à l'entier des frais de première instance, alors que l'intimée avait retiré, en cours de procédure, une grande partie de ses conclusions en raison de l'incident soulevé par la banque, contraignant celle-ci à produire une détermination écrite sur l'incident et prolongeant ainsi de manière injustifiée la procédure. L'intimée n'avait en outre précisé ses conclusions que le 9 juillet 2013, date à laquelle elle avait également admis le principe d'un caviardage. Enfin, elle n'avait pas obtenu l'entier de ses conclusions, le Tribunal n'ayant fixé aucun délai à la banque pour fournir les documents caviardés.

9.1 Les frais sont mis à la charge de la partie succombante. En cas de désistement d'action, la partie succombante est le demandeur, alors qu'en cas d'acquiescement, c'est le défendeur qui succombe (art. 106 al. 1 CPC). Lorsqu'aucune des parties n'obtient entièrement gain de cause, les frais sont répartis selon le sort de la cause (art. 106 al. 2 CPC). Enfin, le tribunal peut s'écarter des règles générales et répartir les frais selon sa libre appréciation lorsque des circonstances particulières rendent la répartition en fonction du sort de la cause inéquitable (art. 107 al. 1 let. f CPC). Selon le Message du Conseil fédéral, l'inégalité économique des parties, qui tombe sous le coup de la let. f de l'art. 107 al. 1 CPC, peut justifier de faire exception à la règle générale de répartition (Message du Conseil fédéral relatif au Code de procédure civile suisse, FF 2006 6841 p. 6908).

9.2 En l'espèce, l'intimée a retiré plusieurs de ses conclusions par courrier du 11 avril 2013, soit avant que la banque n'ait eu à produire sa réponse à la demande et que la cause ne soit instruite. Certes, ce retrait a rendu inutiles les écritures de l'appelante du 30 avril 2013, comportant sept pages, la question de la procédure applicable au litige n'étant plus contestée. Néanmoins, dans la mesure où l'incident n'a pas occasionné un travail considérable, que l'intimée a obtenu gain de cause sur le principe de la transmission par écrit, et pour tenir compte de l'inégalité économique des parties, il se justifie de mettre tous les frais et dépens à la charge de la banque. Le montant de ceux-ci n'étant pas contesté, le jugement entrepris sera donc confirmé sur ce point également.

10. L'appel sera dès lors rejeté et le jugement querellé entièrement confirmé.

11. L'appelante, qui succombe entièrement, supportera les frais du présent appel, arrêtés à 7'000 fr. (art. 106 al. 1 CPC ; art. 5, 18 et 35 du Règlement fixant le tarif des frais en matière civile (RTFMC - E 1 05.10)). Les frais sont partiellement compensés à hauteur de 2'000 fr. par l'avance opérée par elle, qui reste acquise à l'Etat. L'appelante sera condamné à verser le solde (111 al. 1 CPC).

Elle sera également condamnée aux dépens d'appel de son adverse partie, arrêtés à 7'000 fr., TVA et débours compris (art. 105 al. 2 et 106 al. 1 CPC; art. 25 et 26 al. 1 LaCC ; art. 25 al. 1 LTVA; art. 84 et 86 RTFMC).

* * * * *

A la forme :

Déclare recevable l'appel interjeté par A______ contre le jugement JTPI/14145/2013 rendu le 24 octobre 2013 par le Tribunal de première instance dans la cause C/14930/2012-7.

Au fond :

Confirme le jugement entrepris.

Déboute les parties de toutes autres conclusions.

Sur les frais :

Arrête les frais judiciaires d'appel à 7'000 fr.

Les met à la charge de A______ et les compense à hauteur de 2'000 fr. avec l'avance de frais opérée par cette dernière, qui reste acquise à l'Etat.

Condamne A______ à verser à l'Etat le solde des frais judiciaires de 5'000 fr.

Condamne A______ à verser à B______ 7'000 fr. au titre de dépens.

Siégeant :

Monsieur Jean-Marc STRUBIN, président; Madame Paola CAMPOMAGNANI et, Madame Fabienne GEISINGER-MARIETHOZ, juges; Madame Anne-Lise JAQUIER, greffière.

Indication des voies de recours :

Conformément aux art. 72 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF; RS 173.110), le présent arrêt peut être porté dans les trente jours qui suivent sa notification avec expédition complète (art. 100 al. 1 LTF) par-devant le Tribunal fédéral par la voie du recours en matière civile.

Le recours doit être adressé au Tribunal fédéral, 1000 Lausanne 14.

Sans valeur litigieuse.