cour d’appel CIVILE

_____________________________

Arrêt du 8 août 2018

__________________

Composition : M. abrecht, président

Mme Crittin Dayen et M. Kaltenrieder, juges

Greffier : M. Valentino

*****

Art. 6 al. 2 let. d LPD

Statuant sur l’appel interjeté par la Q.________, à Lausanne, défenderesse, contre le jugement rendu le 23 mai 2017 par le Président du Tribunal civil de l’arrondissement de Lausanne dans la cause divisant l’appelante d’avec K.________, à Lausanne, demandeur, la Cour d’appel civile du Tribunal cantonal considère :

En fait :

A. Par jugement du 23 mai 2017, dont les considérants écrits ont été notifiés aux conseils des parties le 16 octobre 2017, le Président du Tribunal civil de l’arrondissement de Lausanne (ci-après : le premier juge) a admis partiellement la demande déposée le 8 août 2016 par K.________ contre la Q.________ (I), a fait interdiction à la Q.________ de transmettre, de communiquer ou de porter à la connaissance de tiers, notamment du Département de la justice américain (ci-après DOJ [U.S. Department of Justice]), des données concernant K.________ ou toute autre information pouvant mener un tiers à l’identifier (II), a dit que l’interdiction prononcée sous chiffre II ci-dessus était faite sous la menace de la peine d’amende prévue à l’art. 292 CP (Code pénal suisse du 21 décembre 1937 ; RS 311.0) en cas d’insoumission à une décision de l’autorité (III), a mis les frais de justice, arrêtés à 3'500 fr., à la charge de la Q.________ (IV), a dit que la Q.________ rembourserait à K.________ la somme de 3'500 fr. versée à titre d’avance de frais (IV), a dit que la Q.________ était la débitrice de K.________ d’une somme de 12'000 fr. à titre de dépens (VI) et a rejeté toutes autres ou plus amples conclusions (VII).

En droit, le premier juge était notamment appelé à statuer sur une action en interdiction d’une atteinte à la personnalité introduite par K.________ (ci-après : le demandeur ou l’intimé) contre la [...] (ci-après : la Q.________, la défenderesse ou l’appelante) visant à faire interdiction à cette dernière de transmettre, de communiquer ou de porter à la connaissance de tiers ou d’Etats tiers, de quelque manière que ce soit ou sur quelque support que ce soit, des données, des informations et des documents comportant le nom du demandeur et/ou des données ou informations le concernant et/ou pouvant l’identifier. Il a laissé ouverte la question de savoir si l’art. 328b CO (Code des obligations ; RS 220) – ayant pour objet de protéger le travailleur lors de traitement de données le concernant – avait une portée propre, soit s’il était plus restrictif que le régime prévu par la LPD (loi fédérale sur la protection des données du 19 juin 1992 ; RS 235.1). Il a considéré qu’au vu du risque de communication transfrontalière des données, il convenait d’analyser la situation à l’aune de l’art. 6 LPD. Après avoir retenu que les Etats-Unis n’offraient pas un niveau de protection adéquat des données personnelles au sens de l’alinéa 1 de cette disposition, le premier juge a indiqué que le seul motif justificatif, parmi ceux prévus par l’alinéa 2, qui pourrait entrer en considération et qui autoriserait, dans ce cas, une communication transfrontalière, était l’existence d’un intérêt public prépondérant au sens de la lettre d. A cet égard, il a en substance retenu qu’en vertu du principe de la proportionnalité, une mise en accusation de la défenderesse par les autorités américaines de poursuite pénale en cas de non-transmission de données concernant le demandeur apparaissait hautement invraisemblable, au vu du fait que ces données ne représentaient qu’une infime partie de celles qui devaient être fournies par la défenderesse et compte tenu du rôle « insignifiant » du demandeur. Quoi qu’il en soit, dès lors qu’il était peu probable, selon le premier juge, qu’une éventuelle mise en accusation de la défenderesse mette son existence en danger, l’intérêt public de la Suisse à empêcher une telle mise en accusation n’était pas aussi élevé que si la défenderesse était une banque qualifiée d’importance systémique, comme l’étaient de grandes banques universelles. En revanche, le magistrat a considéré qu’en cas de transmission de données concernant K.________, outre le fait que celui-ci pouvait très certainement être prétérité dans son activité professionnelle, compte tenu de ses voyages aux Etats-Unis dans le cadre de son travail, il était possible que la relation à laquelle le demandeur était rattaché intéresse le fisc américain et qu’en cas de voyage aux Etats-Unis, il soit intercepté et interrogé par les autorités américaines au sujet du client en question. Au vu de ces éléments, il a été retenu que la défenderesse, qui ne saurait répercuter ses conflits avec le fisc américain sur un ancien mandataire, avait échoué à démontrer l’existence d’un intérêt public prépondérant à la transmission des données du demandeur, de sorte que la demande tendant à la non-communication de ses données personnelles devait être admise. En revanche – et par conséquent –, la conclusion en constatation de droit tendant à qualifier la transmission des données d’atteinte illicite aux droits de la personnalité du demandeur devait être rejetée, pour autant qu’elle fût recevable.

B. Par acte du 17 novembre 2017, la Q.________ a formé appel de ce jugement, en concluant à sa réforme en ce sens que K.________ soit débouté de toutes ses conclusions et condamné à tous les frais et dépens de première et deuxième instance. L’appelante a produit un lot de six pièces sous bordereau.

Par réponse du 22 décembre 2017, K.________ a conclu, avec suite de frais et dépens, au rejet de l’appel. Il a produit un lot de huit pièces sous bordereau.

L’appelante a répliqué le 23 janvier 2018 et l’intimé a dupliqué le 12 février 2018.

Le 27 mars 2018, le Juge délégué de la Cour de céans (ci-après : le Juge délégué) a suspendu la cause jusqu’à droit connu sur le recours pendant au Tribunal fédéral dans une affaire soulevant les mêmes questions juridiques, les parties ne s’étant pas opposées à une telle suspension.

A la suite de l’arrêt TF 4A_611/2017 du 26 mars 2018 ayant admis que la communication au DOJ de données personnelles concernant un ancien mandataire de la défenderesse ne pouvait pas, en l’état actuel, être considéré comme indispensable au sens de l’art. 6 al. 2 let. d LPD, le Juge délégué a, par avis du 14 mai 2018, invité les parties à se déterminer sur le sort de l’appel.

Le 4 juin 2018, soit dans le délai imparti à cet effet, l’appelante a indiqué qu’elle se devait de persister dans ses écritures, vu son devoir de coopération découlant de l’accord de non-poursuite la liant aux autorités américaines, un éventuel retrait ne pouvant intervenir que moyennant l’assentiment du DOJ, qui n’avait toutefois pas pu être obtenu à ce jour.

L’intimé s’est déterminé le même jour, en confirmant sa conclusion tendant au rejet de l’appel et en concluant à l’allocation d’une indemnité « particulièrement équitable » à titre de dépens.

C. La Cour d'appel civile retient les faits pertinents suivants, sur la base du jugement complété par les pièces du dossier :

1. Des parties et de leurs relations

a) La Q.________ est une entreprise de droit public au bénéfice d’une licence bancaire.

b) K.________ a été employé du 1er juin 2009 au 31 août 2014 par la défenderesse. Engagé par la défenderesse en tant que conseiller Private Banking - « key accounts », avec rang de sous-directeur, il était plus particulièrement chargé de gérer et de développer un portefeuille clientèle, de prospecter et d’acquérir de nouveaux clients, ainsi que de représenter la banque dans les manifestations clientèle, auprès des cercles d’influence et auprès de prescripteurs en relation avec son segment (fiduciaire, avocat, notaire, entreprise, régie immobilière, etc.).

Lors de son interrogatoire à l’audience de plaidoiries finales tenue le 17 mai 2017, le demandeur a notamment déclaré n’avoir jamais démarché de clients américains, ni avoir encore entrepris de voyage à caractère professionnel dans ce pays. Dans le cadre de sa relation contractuelle avec la défenderesse, il avait toujours adopté une attitude proactive en encourageant tous ses clients à déclarer leurs avoirs auprès des autorités de leur domicile. A sa connaissance, tout client ayant un lien avec les Etats-Unis, et dont il s’était occupé durant sa période d’emploi auprès de la défenderesse, était alors en règle avec l’administration fiscale américaine. Le demandeur n’a toutefois pas exclu qu’un indice d’américanité ait été occulté par l’un ou l’autre de ses clients ayant choisi de rester discret à ce sujet. Il ne pouvait pas non plus prétendre avoir eu une vue d’ensemble exhaustive sur la situation patrimoniale et la régularisation y relative de ses clients. Il ignorait ainsi si ceux-ci s’étaient toujours parfaitement conformés à leurs obligations fiscales vis-à-vis des Etats-Unis, y compris après le 31 août 2014, date à laquelle les rapports de travail liant les parties avaient pris fin.

Sur le plan privé, le demandeur a des liens très étroits avec les Etats-Unis. En effet, son épouse est de nationalité américaine et avec leurs deux enfants ils rendent régulièrement visite au père de cette dernière, domicilié en Californie, le dernier voyage aux Etats-Unis ayant eu lieu en juillet/août 2016.

2. Du différend fiscal opposant la Suisse et les Etats-Unis

a) Un différend fiscal oppose les banques suisses au fisc américain ; en substance, les autorités américaines reprochent aux établissements bancaires suisses d’avoir aidé certains de leurs clients à se soustraire aux obligations leur incombant à l’égard du fisc américain.

En fonction notamment du degré et de la qualité de la coopération apportée par la banque, le DOJ peut envisager de dénoncer l’affaire et obtenir l’inculpation de l’établissement bancaire concerné, respectivement de ses employés ou de conclure une transaction extrajudiciaire emportant renonciation, voire abandon des charges contre la banque, moyennant, entre autres, le paiement de dommages-intérêts et/ou d’une amende.

Dans ce contexte, les autorités américaines ont déjà ouvert des enquêtes contre divers établissements bancaires suisses aux Etats-Unis. A la fin de l’année 2013, quatorze banques suisses étaient sous enquête.

b) Des discussions visant à régler le différend précité sont en cours depuis plus de quatre ans avec les autorités judiciaires et fiscales américaines.

La Suisse et les Etats-Unis ont signé, le 14 février 2013, un accord de coopération (ci-après : l’accord FATCA [« Foreign Account Tax Compliance Act »]) permettant aux Etats-Unis d’obtenir pour le futur l’imposition de tous les comptes détenus à l’étranger par les personnes soumises à l’impôt aux Etats-Unis. Cet accord permet en outre aux établissements financiers suisses d’échanger des informations avec l’International Revenue Service (IRS) américain. Le Conseil fédéral a ensuite soumis au Parlement fédéral un projet de loi fédérale sur les mesures visant à faciliter le règlement du différend fiscal entre les banques suisses et les Etats-Unis. Le 19 juin 2013, le Parlement suisse a refusé d’entrer en matière sur ce projet, considérant qu’il appartenait au Conseil fédéral de trouver des solutions dans le cadre du droit en vigueur.

L’accord FATCA est entré en vigueur le 2 juin 2014. Le Conseil fédéral a fixé l’entrée en vigueur de la loi d’application correspondante au 30 juin 2014. Il n’existe toutefois aucun lien entre l’accord FATCA, qui règle l’imposition des revenus futurs, et la régularisation des questions fiscales du passé. Ainsi, les banques qui auraient potentiellement violé le droit américain – et contre lesquelles les Etats-Unis n’ont pas encore ouvert de procédure pénale – restent passibles de poursuites pénales aux Etats-Unis.

3. Du Program for non-prosecution agreements or non-target letters for Swiss Banks

a) Afin de trouver une solution permettant aux banques suisses de régulariser également le passé dans un cadre clairement défini et régler ainsi le différend fiscal, le Département fédéral des finances (ci-après : le DFF) et le DOJ ont signé, le 29 août 2013, le « Joint Statement between the U.S. Department of Justice and the Swiss Federal Department of Finance » (ci-après : le Joint Statement). En vertu du Joint Statement, le DOJ entend fournir aux banques suisses non impliquées dans une procédure pénale (autorisée par le DOJ) un moyen adapté pour clarifier leur situation (status) en lien avec l’ensemble des enquêtes menées par le DOJ.

b) Dans ce contexte, le DOJ a publié le même jour un programme (« Program for non-prosecution agreements or non-target letters for Swiss Banks », ci-après : le Programme) destiné aux banques suisses. Ce programme énumère des prescriptions et des conditions devant permettre à toutes les banques suisses de régler directement leur cas avec les autorités américaines compétentes.

Le Programme distingue quatre catégories de banques :

1) celles contre lesquelles le DOJ avait déjà ouvert une enquête pénale avant le 29 août 2013 (catégorie 1) ;

2) celles contre lesquelles le DOJ n’a ouvert aucune procédure pénale, mais qui ont des raisons de croire qu’elles auraient violé le droit fiscal américain, une seule irrégularité étant suffisante (catégorie 2) ;

3) celles qui n’estiment pas avoir violé le droit fiscal américain (catégorie 3) ;

4) celles dont l’activité est purement locale (catégorie 4).

Le Programme n’est pas destiné aux banques de catégorie 1. Quant aux établissements bancaires de catégorie 2, ils ont la possibilité d’obtenir un accord de non-poursuite (« non-prosecution agreement » ; ci-après : NPA) leur garantissant de ne pas être mis en cause devant les tribunaux américains en cas d’évasion fiscale avérée de leur clientèle américaine, moyennant le respect de conditions impératives. Les banques de catégorie 3 et 4 peuvent, quant à elles, demander l’obtention d’une « Non-Target Letter ». Les banques souhaitant participer au Programme selon le Joint Statement devaient l’annoncer aux autorités américaines compétentes dans le délai prévu par le Programme.

Afin d’obtenir un NPA, l’établissement bancaire de catégorie 2 doit coopérer et fournir l’ensemble des preuves et informations requises aux termes du Programme en lien avec ses activités transfrontalières aux Etats-Unis, d’une part, et avec certains comptes présentant un indice d’américanité (« US related account(s) ») ouverts dans ses livres du 1er août 2008 et clôturés depuis lors (« closed US related account(s) »), d’autre part.

En cas de conclusion d’un NPA, la banque doit s’acquitter d’une amende dont le montant est, entre autres, déterminé sur la base des soldes maximaux de chaque closed US related account.

Le Programme renvoie aux définitions contenues dans l’accord FATCA s’agissant de la notion d’US related account. Un compte est ainsi considéré comme présentant un indice d’américanité lorsque des éléments (tels que la citoyenneté du titulaire du compte, sa résidence, son lieu de naissance, une adresse, un numéro de téléphone, un ordre de virement permanent sur un compte aux Etats-Unis, une procuration ou un droit de signature en faveur d’une personne dont l’adresse est située aux Etats-Unis) tendent à démontrer qu’une personne américaine en était titulaire ou bénéficiaire, avait un pouvoir de signature ou un autre pouvoir sur le compte et que sa valeur dépassait 50'000 USD (dollars américains) à un moment donné, en fin de mois, depuis le 1er août 2008. A cet égard, l’art. 2(26) de l’accord FATCA circonscrit la notion de « personne américaine » comme « un ressortissant américain ou une personne physique résidant aux Etats-Unis, une société de personnes ou une société constituée aux Etats-Unis ou selon le droit américain ou le droit d’un des Etats américains, un trust ou la succession d’un défunt qui était citoyen américain ».

Le DOJ exige des banques participant au Programme de rendre compte de manière exhaustive de leurs activités transfrontalières et de fournir des informations détaillées, compte par compte, pour chaque relation bancaire dans laquelle un contribuable américain a un intérêt direct ou indirect.

c) Selon la procédure définie dans l’Annexe I de l’accord FATCA, les établissements bancaires doivent, pour les comptes dont le solde a excédé 50'000 USD mais n’était pas supérieur à 1'000'000 USD, effectuer un examen des données par voie électronique. Pour les comptes dont le solde a excédé 1'000'000 USD, les banques doivent mettre en place une procédure de vérification « élargie » et effectuer un examen des données par voie électronique et des documents physiques, ainsi qu’une prise de renseignements auprès du responsable clientèle.

La présence d’un seul indice suffit pour qualifier un compte d’US related account, à moins que l’une des exceptions listées dans l’Annexe I de l’accord FATCA ne permette d’exclure cette qualification, soit en particulier une auto-déclaration selon laquelle le titulaire du compte n’est pas citoyen américain ni ne possède de domicile fiscal aux Etats-Unis, un passeport non américain ou un autre document d’identité officiel prouvant que le titulaire du compte possède la citoyenneté ou la nationalité d’un autre pays, ainsi qu’une attestation de perte de citoyenneté américaine.

d) Le Programme distingue notamment deux phases, chacune comportant des contraintes différentes : une phase avant la signature du NPA (point II.D.1) et une phase correspondant à la signature du NPA (point II.D.2).

Aux termes du point II.D.1 du Programme, les établissements bancaires de catégorie 2 doivent communiquer au DOJ le nom et la fonction de leurs (anciens) collaborateurs et organes ayant structuré, géré ou supervisé les activités transfrontalières de la banque en lien avec les Etats-Unis. Ils doivent également communiquer le nom et la fonction de toute personne, dont leurs (anciens) employés, ayant été en relation avec un closed US related account.

e) A condition que la banque visée respecte l’ensemble des obligations définies par le Programme, le DOJ ne la poursuivra pas en justice pour les infractions fiscales et les transactions monétaires non déclarées en lien avec les US related accounts détenus. Le DOJ peut refuser de conclure un NPA ou revenir sur les termes de celui-ci, dans les cas où il estime qu’une banque aurait fourni des informations ou des preuves fausses d’un point de vue matériel, incomplètes ou pouvant induire en erreur.

f) Le Conseil fédéral, par le DFF, a rendu le 3 juillet 2013 une décision modèle ayant pour objectif d’autoriser les banques suisses à coopérer pleinement avec le DOJ et à participer de manière effective au Programme. Cette autorisation, accordée conformément à l’art. 271 CP, reconnaît que « la collecte et la transmission de renseignements aux autorités américaines du fait des relations d’affaires de [la banque] avec des personnes assujetties à l’impôt aux Etats-Unis d’Amérique et en lien avec une possible violation du droit américain ne constituent pas des atteintes excessives à la souveraineté de la Suisse ».

4. De la participation de la défenderesse au Programme

a) La défenderesse, avec l’aide de ses conseils et l’assistance d’une société d’audit, a mis en place en son sein une procédure approfondie de due diligence répondant aux critères de l’accord FATCA, afin d’identifier l’ensemble des comptes visés aux termes du Programme, a effectué une revue complète de ces comptes et a procédé à l’ensemble des vérifications nécessaires pour s’assurer de l’exactitude des informations devant être transmises.

Après avoir mesuré les risques juridiques, économiques et de réputation qu’entraînerait une non-participation au programme, la défenderesse a exprimé son intention de requérir la conclusion d’un NPA au Département fiscal du DOJ, par courrier du 27 décembre 2013. A cette occasion, elle a souligné que la participation au Programme n’entraînerait pas la reconnaissance de la commission d’infractions fiscales ou l’exécution de transactions financières poursuivies en droit américain.

b) Conformément à la décision modèle du 3 juillet 2013 établie par le DFF, ainsi qu’au communiqué du Secrétariat d’Etat aux questions financières internationales du 30 août 2013, la défenderesse a présenté une requête d’autorisation au sens de l’art. 271 ch. 1 CP afin de pouvoir coopérer avec les autorités américaines compétentes, se conformer aux exigences du Programme et régler sa situation juridique avec les Etats-Unis.

Dans sa requête, la défenderesse a indiqué être tenue de fournir au DOJ toutes les informations pertinentes exigées en vertu des paragraphes II.D.1 et II.D.2 du Programme, notamment tous les renseignements d’ordre général concernant ses pratiques commerciales et les relations d’affaire impliquant une personne américaine (sans indication de noms de clients, ceux-ci ne pouvant être communiqués aux autorités américaines que par le biais de canaux applicables de l’entraide administrative en matière fiscale), ainsi que toute information concernant les banques récipiendaires auprès desquelles des actifs émanant des comptes bancaires clôturés ayant un indice d’américanité avaient été transférés pendant la période couverte par le Programme.

c) Par décision du 8 janvier 2014, le DFF a autorisé la défenderesse à coopérer avec les autorités américaines compétentes. Cette autorisation, qui reprend les termes de la décision modèle du 3 juillet 2013, a été octroyée pour une année. Elle a été prolongée par le DFF jusqu’au 31 décembre 2015, aux même conditions, avec la précision que la défenderesse était également autorisée à communiquer aux autorités américaines la description des comportements jugés problématiques, avec indication des données personnelles (en particulier le nom) des membres du personnel qui, au sein de la banque, avaient organisé, suivi ou surveillé les relations d’affaires correspondantes, ainsi que des tiers qui avaient agi de manière similaire pour des relations d’affaires de ce genre.

5. De la transmission de données concernant leurs employés par les banques suisses

a) Dans le cadre de la procédure d’éclaircissement des faits (au sens de l’art. 29 LPD) visant à examiner la légalité de la transmission de données personnelles d’employés par différentes banques de catégorie 1, le Préposé fédéral à la protection des données et à la transparence (ci-après : le PFPDT) et les établissements bancaires concernés sont convenus des modalités applicables à d’éventuelles futures productions de documents aux autorités américaines.

Fort de cet accord, le PFPDT a déclaré, dans un communiqué de presse, renoncer à requérir du Tribunal administratif fédéral le prononcé de mesures provisionnelles tendant à faire interdiction aux banques de produire des documents aux autorités américaines. Il a par ailleurs annoncé que dans ses recommandations adressées aux banques actuellement sous enquête aux Etats-Unis, il suivrait l’argument de l’intérêt public avancé pour justifier la transmission des données d’employés aux Etats-Unis.

b) L’Association suisse des employés de banques (ci-après : l’ASEB), l’Association patronale des banques en Suisse (ci-après : l’APB) et l’Association suisse des banquiers (ci-après : l’ASB) sont convenues que les livraisons de données aux Etats-Unis étaient effectuées en raison d’une situation exceptionnelle.

c) Le PFPDT, l’ASEB, l’APB, l’ASB et le DFF ont défini la procédure selon laquelle les données des (anciens) collaborateurs des établissements bancaires participant au Programme, en l’espèce leur nom et leur fonction, pouvaient être transmises au DOJ. Ainsi, les banques doivent :

- informer préalablement à la transmission de données tous les collaborateurs concernés de l’étendue et de la nature des documents à transmettre, ainsi que de la période concernée, étant précisé que les anciens collaborateurs sont informés pour autant que cela soit possible, moyennant un effort raisonnable,

- accorder un délai convenable aux (anciens) collaborateurs pour se renseigner sur les données personnelles les concernant et les consulter,

- apprécier les intérêts en jeu, dans l’hypothèse où le collaborateur concerné s’opposerait au transfert de documents contenant son nom, et

- informer le collaborateur concerné de son droit d’intenter action selon l’art. 15 LPD, dans le cas où la banque, après analyse des intérêts en présence, serait arrivée à la conclusion que la transmission du nom et de la fonction du collaborateur était justifiée.

d) Le DOJ a indiqué, dans un communiqué de presse daté du 29 août 2013, qu’il avait assuré son homologue suisse que le simple fait que le nom d’une personne soit inclus dans les données transmises par la banque ne signifiait pas nécessairement que cette personne était coupable d’acte(s) répréhensible(s). A ce propos, il ressort notamment du chiffre 5 du Joint Statement ce qui suit : « Compte tenu de l’importance accordée par chaque partie à la protection des données personnelles et de la vie privée des personnes telle que requise par leurs lois respectives, les signataires entendent, en cas d’échange de données personnelles, n’utiliser ces données que dans le cadre de procédures visant le respect du droit (qui peuvent comprendre des actions réglementaires) engagées aux Etats-Unis ou autorisées par le droit américain. (…) ».

e) Le Conseil fédéral a souligné, s’agissant de la transmission de données personnelles des employés, que cette transmission « [était] réputée licite dès lors qu’un intérêt public prépondérant ou une disposition légale la justifi[ait] ». Il a par ailleurs précisé que si un tribunal s’opposait à la transmission de données, la banque concernée ne serait pas à même de remplir dans une mesure suffisante ses obligations de coopération avec le DOJ et qu’il se pourrait alors qu’elle ne puisse pas conclure de NPA, ni régulariser le passé. Dans ce cas, la solution retenue pour régler le litige fiscal n’atteindrait pas son but.

f) Le Grand conseil vaudois a refusé la résolution 14_RES_018 visant à faire bloquer le transfert des données aux autorités américaines dans le cadre du Programme. Il a ainsi été confirmé par les autorités parlementaires vaudoises que la procédure mise en place par le PFPDT était nécessaire et suffisante pour garantir les droits des employés d’une banque participant au Programme, qu’une décision de principe n’était pas possible et que chaque cas devait faire l’objet d’une pesée des intérêts.

6. De l’intérêt des banques à la participation au Programme

a) Les autorités fédérales et les associations professionnelles suisses ont souligné l’importance de la coopération avec les autorités américaines pour la protection de la place financière suisse, les institutions financières et leurs employés, ont reconnu l’intérêt des banques suisses à la participation au Programme et ont fortement encouragé les établissements bancaires à y participer. A cet égard, le Parlement fédéral a déclaré qu’il s’attendait à ce que le Conseil fédéral prenne toutes les mesures dans le cadre du droit en vigueur pour permettre aux banques suisses de coopérer avec le DOJ. Le Conseil fédéral a en particulier fait valoir que « le droit en vigueur permettra[it] aux banques suisses une participation effective selon les termes fixés dans le programme ».

b) [...], alors directeur de l’autorité fédérale de surveillance des marchés financiers (ci-après : la FINMA), a vivement encouragé les banques à participer au Programme en ces termes : « Après un examen approfondi, une renonciation à participer au programme semble peu avantageuse. Les banques qui ne saisissent pas cette chance de pouvoir régler leurs risques juridiques doivent s’attendre à un conflit durable qui ira en augmentant. Il faut craindre d’autres mesures de contrainte des autorités judiciaires américaines. Ceci serait à long terme plus coûteux et amènerait moins de sécurité juridique pour les établissements, leurs collaborateurs et leurs clients que la possibilité actuelle de mettre rapidement fin au litige juridique. Ce n’est que lorsque le fardeau du passé sera éliminé que la place bancaire pourra se consacrer de toutes ses forces à l’avenir et développer son potentiel. »

c) L’ASEB a également vivement soutenu – dans l’intérêt de la place financière suisse et de ses collaborateurs – « les efforts des établissements bancaires et des cercles politiques pour trouver un règlement amiable aux litiges en matière fiscale avec les Etats-Unis ».

d) Dans sa note explicative relative à la décision modèle du 3 juillet 2013, le DFF a notamment relevé ce qui suit : « […] l’intérêt de la requérante à coopérer avec les autorités américaines est important. En fin de compte, la collecte et la transmission des renseignements visent à éviter une plainte du DOJ à l’encontre de la requérante. Pour celle-ci, le dépôt d’une plainte aurait des conséquences majeures sur ses relations économiques avec les Etats-Unis. La requérante risque de ne plus pouvoir effectuer de transactions en dollars américains. Les problèmes opérationnels et financiers qui résulteraient d’une telle situation pourraient nuire considérablement à la requérante, voire menacer son existence. ».

7. Des risques liés à une absence de participation au Programme par les banques suisses

a) Dans le Message relatif à l’approbation de l’accord entre la Suisse et les Etats-Unis concernant la demande de renseignements relative à l’ [...] SA, et du protocole modifiant cet accord, du 14 avril 2010, le Conseil fédéral a mis en évidence les risques liés à une procédure pénale américaine dirigée contre un établissement bancaire en ces termes : « […] l’expérience montre qu’en cas d’ouverture d’une procédure pénale, les acteurs du marché misent sur un effondrement de la banque et adaptent leur comportement à ce scénario. Compte tenu de l’effet de contagion des prévisions pessimistes quant à la survie d’un établissement financier, les effets négatifs peuvent très rapidement être décuplés. Une réactivation de la procédure de mise en accusation d’ [...] SA aux Etats-Unis par les autorités américaines de poursuite pénale […] aurait été de nature à mettre sérieusement et directement en péril l’existence de l’établissement. »

b) Dans son Message relatif à la loi fédérale sur des mesures visant à faciliter le règlement du différend fiscal entre les banques suisses et les Etats-Unis d’Amérique, le Conseil fédéral a encore souligné qu’une coopération insuffisante de la part des banques entraînerait l’ouverture d’autres actions en justice et d’un grand nombre de procédures pénales contre des établissements bancaires suisses jusqu’ici non directement concernés, « avec pour conséquences le maintien du climat d’insécurité qui pèse actuellement sur la place financière suisse ».

La FINMA a, quant à elle, déclaré qu’elle s’attendait « à ce que toutes les banques se penchent sur ce sujet et se renseignent convenablement avant de prendre leur décision [ndr : quant à la participation au Programme] [et qu’]il conv[enait] notamment de mesurer de manière appropriée les potentiels risques juridiques et de réputation qu’entraînerait une non-participation et d’en tenir compte dans le processus de décision […] ».

c) Dans son rapport d’activités 2012/2013, le PFPDT a notamment indiqué ce qui suit : « Sur la base des documents qui nous ont été remis et des explications données, et au vu des organes fédéraux impliqués, nous avons conclu que les communications de données étaient compréhensibles dans le contexte d’un intérêt public prépondérant. On nous a expliqué de manière crédible que les banques risquaient de subir de graves conséquences au cas où elles refuseraient de transmettre les informations demandées par les autorités américaines. […] ».

d) En février 2012, le DOJ a inculpé l’une des banques suisses visées par la procédure d’enquête évoquée ci-dessus, soit la banque [...]. Cette inculpation a conduit à la cristallisation immédiate des risques évoqués ci-dessus, contraignant les associés de la banque à interrompre immédiatement l’exploitation de cette dernière et à céder toutes les activités non américaines au [...]. Dans un communiqué de presse du 27 janvier 2012, la FINMA a indiqué avoir donné son aval à cette liquidation de facto de la banque [...], compte tenu des « risques encourus par [cette dernière] à la suite des investigations que mène contre elle la justice américaine ».

Depuis lors, la presse a également rapporté l’inculpation de différents représentants de haut niveau de certaines des banques de catégorie 1 visées par l’enquête du DOJ, telles que la [...] SA et [...] SA.

Cette dernière a, à fin mai 2014, annoncé la conclusion d’un accord avec le DOJ, afin de lui permettre de régulariser le passé et d’éviter ainsi une inculpation. A cet effet, elle a reconnu avoir enfreint la législation fiscale américaine et a accepté le paiement de l’amende proposée par les autorités de ce pays. Cet accord – qui lie désormais les deux pays – a permis ainsi de trouver une issue juridique au conflit sans mise en accusation formelle.

e) En ce qui concerne les risques encourus par les employés en cas de livraison de données, l’ASEB a retenu dans son bilan intermédiaire sur la transmission de données de collaborateurs du 12 juin 2014 ce qui suit : « Dans la mesure où l’employé n’a pas démarché activement des citoyens américains, a géré des comptes de moins de 1 million de francs et a effectué des transactions ne relevant pas de l’évasion fiscale, les risques d’inculpation par les USA sont minimes. Une fois que l’accord entre la banque et les USA est conclu, le risque d’être retenu comme témoins se réduisent aussi drastiquement. Les risques marginaux qui existeraient encore pour des employés seraient causés par des clients de la banque qui n’auraient pas régler [sic] leur situation fiscale. »

8. De la transmission de données concernant le demandeur

a) Par courrier du 14 juillet 2014, la défenderesse a informé le demandeur que, dans le cadre de l’analyse de documents concernant des comptes clos considérés comme des US Related Accounts, son nom avait été identifié, en qualité de « suivi global » pour un ou plusieurs comptes concernés et que, sur la base de l’autorisation obtenue par les autorités fédérales suisses, cette information (nom et fonction) ferait partie des données devant être transmises aux autorités américaines dans le cadre du Programme.

Le demandeur ne s'est pas opposé à la décision de la banque.

Par courrier du 3 octobre 2014, la défenderesse a confirmé au demandeur qu'elle allait transmettre au DOJ une liste contenant son nom et sa fonction en relation avec certains comptes bancaires – aujourd’hui clôturés – présentant un lien avec les Etats-Unis, expliquant que « cela était […] justifié par des intérêts privés et publics prépondérants » et « qu'elle ne s'attendait pas à ce que ses employés actuels ou anciens dont l'identité [était] communiquée au DOJ dans le cadre du Programme aient à souffrir d'inconvénients du seul fait de cette communication ».

C'est ainsi que le nom et la fonction du demandeur – en lien avec les comptes de tiers nos [...] – ont été communiqués aux autorités américaines. En plus des comptes bancaires à l'origine de cette première transmission de données, le demandeur a exercé notamment son activité de gestion – en qualité de « suivi global » – en lien avec les comptes relatifs aux tiers nos [...]. Ces quatre autres comptes ont été identifiés comme présentant à tout le moins un indice d'américanité.

Interrogé à l'audience de plaidoiries finales, le demandeur a déclaré qu'il n'avait pas compris toute la portée de la lettre du 14 juillet 2014 et qu'il craignait que la banque, avec laquelle il était encore sous contrat, ne lui verse pas ses deux salaires mensuels qui lui étaient encore dus et qu'elle lui remette un certificat de travail qui n'était pas adéquat par rapport au travail fourni. Le demandeur n'avait pas pris la juste mesure du risque qu'il encourait à laisser la banque procéder librement au transfert de ses données personnelles. Il a déclaré par ailleurs avoir suivi de près l'évolution de l'actualité relative au programme américain, aussi par rapport à la presse, en relevant qu'il avait des collègues, notamment de l' [...], qui s'étaient fait arrêter aux USA. Il a ajouté voyager, pour sa part, dans ce pays à titre privé, sa femme étant américaine, et s'est posé la question de savoir ce qui se passerait s'il se faisait arrêter à l'occasion de l'un de ces voyages, en présence de ses quatre enfants.

b) Le 21 décembre 2015, un NPA a été conclu entre la défenderesse et le DOJ.

Dans un rapport actualisé du PFPDT du 2 mai 2016 sur l'état de la protection des données dans le monde, la législation américaine a de nouveau été catégorisée comme n'assurant pas un niveau de protection adéquat quant au traitement des données des personnes physiques.

En février 2016, le DOJ a annoncé que deux employés de la Banque [...], au poste de « Client advisers » et dont le nom avait été rendu public, seraient jugés aux Etats-Unis (Communiqué de presse du 4 février 2016 du DOJ), leur nom ayant également été publié par l'IRS américain sur son site internet sous la rubrique « Foreign Financial Institutions or Facilitators ».

c) Il ressort des déclarations faites en janvier et mars 2016 par différents acteurs-clés, notamment au sein du DOJ, que l'analyse des données transmises ne faisait que commencer et que les individus devaient s'attendre à faire l'objet d'investigations (y compris ceux qui avaient eu un rôle de complice ou de facilitateur), les autorités américaines souhaitant utiliser de quelque manière que ce soit les données qui leur seraient communiquées. Sur ce point, le demandeur a déclaré qu'en sus des risques d'interrogatoire et d'arrestation, voire d'inculpation, il craignait que la transmission de ses données personnelles l'entrave sérieusement dans son avenir professionnel.

Le 30 juin 2016, un article du Wall Street Journal annonçait que le DOJ avait commencé à comparer les données reçues des banques suisses avec celles obtenues des contribuables américains, avec pour objectif d'initier des poursuites pénales si des écarts étaient trouvés.

9. De l’opposition du demandeur au transfert de données le concernant

Par lettre du 15 avril 2016, la défenderesse a annoncé au demandeur son intention de transmettre une nouvelle fois ses données personnelles, reprenant en substance le contenu de son courrier du 14 juillet 2014. Elle a précisé que le demandeur pouvait contacter sa Task force s’il souhaitait plus de détails sur les comptes concernés. Elle a en outre accordé au demandeur un délai de vingt jours pour déposer une opposition écrite.

Par courrier adressé le 20 avril 2016 à la défenderesse, le demandeur, par son conseil, s’est opposé à toute nouvelle transmission aux autorités américaines de données le concernant. Il a invoqué le fait qu'une telle transmission portait gravement préjudice aux droits de sa personnalité, exposant le risque bien réel qu'il soit un jour interrogé de force et arrêté, voire inculpé par les autorités américaines. Au vu de la situation, la défenderesse a été invitée à confirmer qu'elle renoncerait définitivement à transmettre au DOJ toutes informations concernant le demandeur. Elle a été également sommée de fournir dans les meilleurs délais des explications circonstanciées ainsi que des informations précises et complètes sur les données visées.

Aucune suite n'ayant été donnée à ce courrier, le conseil du demandeur a adressé le 23 mai 2016 une lettre à la défenderesse, en lui impartissant un délai au 26 mai 2016 pour fournir les informations requises.

Par courrier du 26 mai 2016, la défenderesse a annoncé au demandeur qu'elle persistait dans sa décision de transmettre les données le concernant, en relation avec quatre nouveaux comptes bancaires, à savoir les comptes nos [...], dans la mesure où ce transfert d'informations était, à son avis, justifié par des intérêts privés et publics prépondérants. Elle a précisé que les informations relatives au demandeur, s'agissant des trois autres comptes nos [...], avaient déjà été transmises au DOJ en 2014.

Par courrier de son conseil du 30 mai 2016, le demandeur a annoncé sa détermination à faire valoir ses droits en justice. Aussi, n'ayant aucun moyen d'identifier les clients en rapport avec les numéros de compte fournis et ne pouvant donc pas vérifier s'il avait été ou non en contact avec les clients des comptes litigieux, il a requis que les noms de tous les titulaires et/ou ayant droits économiques concernés par ces comptes lui soient communiqués dans un délai échéant le 2 juin 2016.

Par lettre du 1er juin 2016, la défenderesse a répondu en fournissant les noms des titulaires des quatre derniers comptes visés.

Interrogé à l'audience de plaidoiries finales sur la question de savoir si, par la transmission des données, il serait dénoncé comme une personne impliquée dans la gestion des comptes possédant un indice d'américanité, sans autres précisions sur le statut fiscal des personnes concernées, le demandeur a expliqué qu'il était d'usage de demander au client américain le "F-bar", document fiscal dans lequel toutes les informations étaient censées être répertoriées, et que cette requête était renouvelée chaque année, de manière à vérifier que le/les comptes Q.________ y figurai(en)t. Il n'y avait toutefois aucune information par rapport au statut fiscal des clients américains concernés.

10. De l’accord Swiss-US Privacy Shield

En 2008, dans le but de fournir une base juridique pour le transfert de données personnelles à destination et en provenance des Etats-Unis, la Suisse a conclu avec les Etats-Unis l’accord « Swiss-US Safe Harbor Framework » (ci-après : Safe Harbor). Il s’agissait d’un système comportant une autocertification pour des entreprises souhaitant importer des données de la Suisse aux Etats-Unis. Les garanties de protection qu’il contenait n’engageaient que les entreprises certifiées proprement dites, mais pas les autorités publiques (https://www.edoeb.admin.ch/ datenschutz/00626/00753/00970/01320/index.html?lang=fr).

Le 11 janvier 2017, le PFPDT a publié sur son site une communication relative à la mise en œuvre d’un nouveau cadre pour la transmission des données personnelles de la Suisse aux Etats-Unis, le « Swiss-US Privacy Shield » (ci-après : Privacy Shield) (https://www.edoeb.admin.ch/datenschutz/00626/00753/01405/ 01406/index.html?lang=fr). Selon le PFDPT, le Privacy Shield, qui remplace l’accord Safe Harbor – jugé insuffisant par le PFPDT et abrogé par le Conseil fédéral –, a pour but de renforcer l’application des principes de protection des données par les entreprises participantes et d’améliorer la gestion et la surveillance de ces données par les autorités américaines afin de soutenir le commerce transatlantique (cf. ég. le site officiel du Privacy Shield : https://www.privacyshield.gov). Dès le 12 avril 2017, les entreprises américaines intéressées peuvent engager le processus de certification ; il leur suffit de s'enregistrer en ligne auprès du Département du commerce américain (« U.S. Department of Commerce » [ci-après : DOC]) sur le site www.privacyshield.gov/PrivacyShield/ApplyNow et de se conformer aux obligations prévues. Une entreprise suisse qui souhaite transmettre des données personnelles à une entreprise américaine doit d'abord s'assurer que celle-ci est certifiée au Privacy Shield. Elle peut à cet effet consulter la liste des entreprises certifiées publiée par le DOC. Si cette entreprise américaine n'est pas certifiée, il appartient à l'entreprise suisse de prendre d'autres mesures propres à garantir que les données concernées feront l'objet d'une transmission conforme à LPD, en réglant préalablement, par exemple par contrat, la question de leur protection (art. 6 al. 2 let. a LPD). Les autorités ne peuvent pas se faire certifier au Privacy Shield (https://www.edoeb.admin.ch/datenschutz/00626/00753/01405/01445/index.html?lang=fr).

Le 12 janvier 2017, le PFPDT a mis à jour la liste des Etats ayant une législation assurant un niveau de protection adéquat au sens de l’art. 6 al. 1 LPD. Les Etats-Unis sont classés parmi les pays qui offrent un niveau de protection adéquat « sous certaines conditions », avec la remarque selon laquelle « les organismes qui adhèrent au Privacy Shield pour les données provenant de Suisse et qui figurent sur la liste du Département américain du commerce garantissent un [tel] niveau de protection (…) » (https://www.edoeb.admin.ch/datenschutz/ 00626/00753/01405/01406/index.html?lang=fr.).

11. De la procédure

a) Le 2 juin 2016, le demandeur a saisi le Président du Tribunal civil de l’arrondissement de Lausanne d'une requête de mesures provisionnelles et superprovisionnelles tendant à interdire à la défenderesse de transmettre aux autorités américaines toutes informations le concernant.

Par ordonnance de mesures superprovisionnelles du même jour, le premier juge a fait droit aux mesures d’extrême urgence requises.

Par lettre du 21 juin 2016, la défenderesse s'est déterminée sur la requête de mesures provisionnelles, en concluant à ce que le demandeur soit débouté de l'entier de ses conclusions et en renvoyant à son courrier du 26 mai 2016.

Par ordonnance de mesures provisionnelles du 8 juillet 2016, le premier juge a confirmé l'interdiction faite à la défenderesse de transmettre les données du demandeur et a imparti à ce dernier un délai de soixante jours dès l'entrée en force de l’ordonnance pour déposer sa demande.

b) Par action en interdiction d'une atteinte et constatation de droit, introduite par demande du 8 août 2016, le demandeur a conclu, avec suite de frais et dépens, à ce qu’interdiction soit faite à la Q.________, sous la menace de la peine prévue à l'art. 292 CP, de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, informations ou documents comportant le nom et/ou des données ou informations relatives à K.________ et/ou pouvant l'identifier. Il a également conclu à ce qu’il soit dit et constaté que le fait pour la défenderesse de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'Etats tiers, de quelque manière que ce soit et sur quelque support que ce soit, des données, informations ou documents comportant le nom et/ou des données ou informations relatives au demandeur et/ou pouvant l'identifier constitue une atteinte illicite aux droits de sa personnalité.

Par réponse du 26 octobre 2016, la défenderesse a conclu, avec suite de frais et dépens, au rejet de la demande.

Le demandeur s’est encore déterminé le 4 janvier 2017.

La défenderesse a à son tour déposé des déterminations en date du 17 janvier 2017.

c) Une audience de premières plaidoiries s’est tenue le 1er février 2017.

d) L’audience de plaidoiries finales et de jugement a eu lieu le 17 mai 2017, en présence des parties et de leurs conseils respectifs.

e) Le dispositif du jugement a été notifié aux parties le 23 mai 2017. Le 24 mai 2017, le demandeur en a requis la motivation.

En droit :

1.1 L'appel est recevable contre les décisions finales de première instance (art. 308 al. 1 let. a CPC [Code de procédure civile suisse du 19 décembre 2008; RS 272]), dans les causes non patrimoniales ou dont la valeur litigieuse est supérieure à 10'000 fr. (art. 308 al. 2 CPC). L'appel, écrit et motivé, doit être introduit auprès de l'instance d'appel, soit auprès de la Cour d'appel civile (art. 84 al. 1 LOJV [loi du 12 décembre 1979; RSV 173.01]), dans les trente jours à compter de la notification de la décision motivée ou de la notification postérieure de la décision selon l'art. 239 CPC (art. 311 al. 1 CPC).

1.2 En l'espèce, l'appel a été adressé en temps utile et dans les formes prescrites à l'autorité compétente par une partie qui y a un intérêt digne de protection (cf. art. 59 al. 2 let. a CPC). Dirigé contre une décision finale de première instance (art. 308 al. 1 let. a CPC) dans une cause non patrimoniale (art. 308 al. 2 CPC) – les affaires portant sur la protection de la personnalité étant non patrimoniales, sauf si la demande porte exclusivement sur des dommages-intérêts (Jeandin, CPC commenté, Bâle 2011, n. 12 ad art. 308 CPC et les réf. citées) –, l'appel est recevable.

2.1 L'appel peut être formé pour violation du droit ou pour constatation inexacte des faits (art. 310 CPC). L'autorité d'appel peut revoir l'ensemble du droit applicable, y compris les questions d'opportunité ou d'appréciation laissées par la loi à la décision du juge, et doit le cas échéant appliquer le droit d'office conformément au principe général de l'art. 57 CPC. Elle peut revoir librement l'appréciation des faits sur la base des preuves administrées en première instance (JdT 2011 III 43 consid. 2 et les réf.).

2.2 Les faits et moyens de preuve nouveaux ne sont pris en compte que s'ils sont invoqués ou produits sans retard et ne pouvaient être invoqués ou produits devant la première instance, bien que la partie qui s'en prévaut ait fait preuve de la diligence requise, ces deux conditions étant cumulatives (art. 317 al. 1 CPC; Jeandin, op. cit., n. 6 ad art. 317 CPC). Il appartient à l'appelant de démontrer que ces conditions sont réalisées, de sorte que l'appel doit indiquer spécialement de tels faits et preuves nouveaux et motiver spécialement les raisons qui les rendent admissibles selon lui (JdT 2011 III 43 et les réf. citées). A cet égard, on distingue vrais et faux novas. Les vrais novas sont des faits ou moyens de preuve qui ne sont nés qu’après la fin de l’audience de débats principaux de première instance. Ils sont recevables en appel lorsqu’ils sont invoqués sans retard après leur découverte. Les faux novas sont des faits ou moyens de preuve nouveaux qui existaient déjà lors de l’audience de débats principaux. Leur recevabilité en appel est exclue lorsqu’ils auraient pu être invoqués en première instance en faisant preuve de la diligence requise (Colombini, Condensé de la jurisprudence fédérale et vaudoise relative à l’appel et au recours en matière civile, in JdT 2013 III 131 ss, n. 40 p. 150 et les réf. citées).

Aux termes de l'art. 151 CPC, les faits notoires ou notoirement connus du tribunal et les règles d'expérience généralement reconnues ne doivent pas être prouvés. Selon la jurisprudence, les faits notoires, qu'il n'est pas nécessaire d'alléguer, sont ceux dont l'existence est certaine au point d'emporter la conviction du juge, qu'il s'agisse de faits connus de manière générale du public ou seulement du juge. La jurisprudence précise que, pour être notoire, un renseignement ne doit pas être constamment présent à l'esprit ; il suffit qu'il puisse être contrôlé par des publications accessibles à chacun, par exemple sur Internet (ATF 135 III 88 consid. 4.1 et les réf. citées ; TF 5A_435/2011 du 14 novembre 2011 consid. 9.3.3 ; TF 9C_748/2009 du 16 avril 2010 consid. 4.5).

En l’espèce, l’appelante a produit un lot de six pièces sous bordereau. Les pièces A, B et B1 sont des pièces de procédure, de sorte qu’elles sont recevables. Quant aux lettres de la Direction du Renseignement national (Office of the Director of National Intelligence) et de l’Office de l’Avocat général (Office of General Counsel) des 22 février et 21 juin 2016 (pièces B2 et B3), ainsi que celle du DOJ du 19 février 2016 (pièce B4), censées démontrer que les autorités américaines devraient être considérées comme offrant une protection adéquate des données et que, dès lors, l’art. 6 LPD serait inapplicable, elles sont toutes antérieures à la clôture de l’instruction de première instance. Or l’appelante n’expose nullement à quelle date elle a eu connaissance de ces courriers, ni pourquoi elle n’aurait pas été en mesure d’alléguer ces éléments lors de la procédure de première instance, alors que la question de l’existence d’une législation assurant un niveau de protection adéquat avait été soulevée dans la demande. Partant, son grief, ainsi que les pièces y relatives produites par l’appelante, sont irrecevables.

L’intimé a quant à lui produit un lot de huit pièces sous bordereau (pièces 40 à 46). Les pièces 40 et 41, tirées du site Internet de l’administration fédérale, plus particulièrement du site du PFPDT, ainsi que du site officiel du Privacy Shield, sont postérieures à l’audience de première instance et, partant, recevables. Par ailleurs, les indications concernant le Privacy Shield fournies par le PFPDT constituent un fait notoire, dès lors qu’on peut les trouver sur le site Internet de l’administration fédérale (cf. TF 6B_387/2012 consid. 3.5). Ces éléments ont donc été pris en compte par la Cour de céans, dans la mesure de leur utilité, pour compléter l'état de fait du litige (let. C/10 supra). Quant aux pièces 42, 42a, 43, 45 et 46 (qui concernent des articles de presse), elles sont recevables puisque postérieures à l’audience de première instance. Ces pièces ne sont toutefois pas déterminantes pour le sort du présent appel. L’arrêt du Tribunal fédéral TF 4A_73/2017 du 26 juillet 2017, produit sous pièce 44, qui constitue un fait notoire, est également recevable.

3.1 L’appelante, qui ne remet pas en cause les faits retenus dans le jugement attaqué, soutient tout d’abord que le premier juge aurait procédé à une appréciation inexacte de ces faits en considérant, d’une part, comme hautement invraisemblable qu’elle puisse être mise en accusation par le DOJ en raison de la non-transmission de données concernant l’intimé et, d’autre part, qu’il était indéniable que l’incertitude quant à l’utilisation qui serait faite par le DOJ de ces données, respectivement au but dans lequel celles-ci seraient utilisées, était de nature à entraver l’intimé tant sur le plan privé que professionnel et que ce dernier risquait d’être interpellé et interrogé par les autorités américaines en cas de voyage aux Etats-Unis.

La question des risques que la (non-)transmission des données litigieuses pourrait faire peser sur l’appelante, respectivement sur l’intimé, doit être traitée dans le cadre de l’examen de l’existence d’un intérêt public prépondérant pouvant justifier, le cas échéant, la communication de ces données (consid. 3.2.3.3 infra).

3.2

3.2.1 L’appelante a, dans son mémoire d’appel, soutenu que les Etats-Unis devraient être considérés comme offrant une protection adéquate des données personnelles au sens de l’art. 6 al. 1 LPD, de sorte que l’art 6 LPD serait inapplicable, la cause devant être examinée selon les règles générales de la LPD et la pesée des intérêts devant se faire sous l’angle de l’art. 13 LPD. Dans sa réplique, elle a à juste titre expressément renoncé à ce moyen au vu de la jurisprudence rendue entretemps, selon laquelle les autorités américaines ne doivent pas être considérées comme offrant un niveau de protection adéquat des données (TF 4A_88/2017 du 29 novembre 2017 consid. 5.3 ; TF 4A_355/2017 du 29 novembre 2017 consid. 4.3). Il n’est désormais plus contesté que le litige doit être résolu en l’espèce en application de l’art. 6 al. 2 let. d LPD.

3.2.2

3.2.2.1 Selon l'art. 6 al. 1 LPD, aucune donnée personnelle (sur la notion de donnée personnelle, cf. art. 3 LPD) ne peut être communiquée à l'étranger si la personnalité des personnes concernées devait s'en trouver gravement menacée, notamment du fait de l'absence d'une législation assurant un niveau de protection adéquat.

L'art. 6 al. 2 LPD contient une liste exhaustive de motifs (alternatifs) permettant la communication à l'étranger des données, en dépit de l'absence de législation assurant un niveau de protection adéquat (TF 4A_390/2017 du 23 novembre 2017 consid. 4.1 et l'arrêt cité).

Selon l'art. 6 al. 2 let. d, première alternative, LPD, des données personnelles peuvent être communiquées à l'étranger uniquement si la communication est, en l'espèce, indispensable à la sauvegarde d'un intérêt public prépondérant. Cette disposition pose trois conditions: (1) un intérêt public, (2) un intérêt public qui soit prépondérant et (3) une communication qui soit indispensable à la sauvegarde de celui-ci. Dans plusieurs arrêts récents en rapport avec le programme américain, le Tribunal fédéral a déjà précisé ce qu'il y a lieu d'entendre par là.

3.2.2.2 Il existe un intérêt public si la préservation de la stabilité juridique et économique de la place financière suisse est en jeu. L'intérêt de la banque à sa survie ne suffit en soi pas, dès lors qu'il s'agit d'un intérêt privé, et non d'un intérêt public (TF 4A_390/2017 déjà cité consid. 4.2.1).

L'intérêt public doit être prépondérant par rapport à l'intérêt privé du tiers à ce que ses données personnelles ne soient pas communiquées aux autorités américaines. Le juge doit procéder à une pesée des intérêts (art. 4 CC) in concreto, en tenant compte de toutes les circonstances du cas particulier à la date du jugement (TF 4A_390/2017 déjà cité consid. 4.2.2 et les références citées).

La communication des données doit être indispensable à la sauvegarde de l'intérêt public prépondérant. Elle est indispensable (unerlässlich) si elle est absolument nécessaire (unbedingt notwendig) en ce sens que, sans la livraison de ces données, le litige fiscal avec les Etats-Unis s'intensifierait à nouveau, que la place financière suisse dans son ensemble en serait affectée et que cela porterait préjudice à la réputation de la Suisse en tant que partenaire de négociation fiable (TF 4A_390/2017 déjà cité consid. 4.2.3 et les arrêts cités).

3.2.3

3.2.3.1 En l’espèce, en signant le Joint Statement, le Conseil fédéral a garanti au DOJ que le droit suisse en vigueur permet la participation effective des banques au programme américain. Autrement dit, vu le Joint Statement conclu par le Conseil fédéral, il doit être admis que, matériellement, le droit suisse autorise la participation effective des banques suisses et donc la communication des données de tiers (employés, gestionnaires) conformément aux conditions posées par le programme américain.

Il ne s'agit toutefois pas d'admettre de manière abstraite que toutes les banques doivent communiquer les données concernant des tiers, même en l'absence de toute menace d'une atteinte à l'intérêt public de la Suisse. Il faut bien plutôt examiner si la modification de la situation de fait doit être prise en considération sous l'angle matériel et si elle conduit à admettre ou nier le caractère indispensable de la communication des données. La LPD vise en effet à protéger la personnalité et les droits fondamentaux des personnes qui font l'objet d'un traitement de données. Au centre de ses préoccupations figure donc la protection de la personnalité de l'intéressé (employé, gestionnaire). Ne pas tenir compte par principe des modifications de la situation et admettre systématiquement la communication des données aurait pour conséquence de laisser la personnalité sans protection, alors même que, dans le cas particulier, la communication n'est plus indispensable à la sauvegarde de l'intérêt public (TF 4A_390/2017 déjà cité consid. 4.2.3).

Il appartient à la banque de démontrer que, à la date du jugement, la non-communication des données litigieuses aurait pour conséquence nécessaire une nouvelle escalade du litige fiscal avec les Etats-Unis et, de ce fait, constituerait une menace pour la place financière suisse et la réputation de la Suisse en tant que partenaire de négociation fiable (TF 4A_390/2017 déjà cité consid. 4.2.3; sur le tout, TF 4A_611/2017 du 26 mars 2018 consid. 4.2). A cet égard, il ne suffit pas de faire état de risques abstraits; la banque doit au contraire établir que la non-communication des données litigieuses serait concrètement (en l'espèce) de nature à remettre en cause l'accord conclu et/ou à entraîner une inculpation de la banque et qu'elle est en l'occurrence nécessaire pour éviter une (nouvelle) intensification du litige fiscal avec les Etats-Unis qui, de ce fait, affecterait la place financière suisse et porterait préjudice à la réputation de la Suisse en tant que partenaire de négociation fiable (TF 4A_611/2017 du 26 mars 2018 consid. 4.3).

3.2.3.2 Le premier juge a retenu que le fait qu'une mise en accusation de la banque entraînerait sa disparition était incertain, ce scénario paraissant improbable, d'autant que celle-ci n'était pas, contrairement à de grandes banques universelles, comme UBS ou Credit Suisse, une banque d'importance systémique et qu'elle n'était pas active sur le marché américain. L'intérêt public de la Suisse à empêcher une éventuelle mise en accusation de la banque, qui mettrait son existence en danger, n'était pas aussi important que s'il s'agissait d'une banque d'importance systémique. Quoi qu'il en soit, le demandeur était, pour les Etats-Unis, un "petit poisson", de sorte qu'il n'existait en l'état aucun indice permettant de conclure qu'en cas de livraison incomplète des données au DOJ, ce dernier révoquerait l'accord d'ores et déjà conclu, d'autant que les données concernant le demandeur ne représentaient qu'une infime partie des données à fournir par la banque. Par ailleurs, le demandeur devait s'attendre, en cas de transmission des données le concernant, à ce que les Etats-Unis le contraignent à révéler l'identité des titulaires des comptes concernés, l'obligeant à se rendre coupable d'une infraction de droit suisse, et était en outre susceptible d'être prétérité dans son activité professionnelle. La banque avait ainsi échoué à démontrer l'existence d'un intérêt public prépondérant.

3.2.3.3 L'appelante se contente de faire état des risques de voir les termes de l'accord conclu avec le DOJ être révoqués. Elle se prévaut cependant à cet égard uniquement du fait que le DOJ se réserve de revenir sur les termes de l'accord conclu, en l'absence d'une pleine coopération, sans faire la démonstration qu'un tel risque serait concret au vu des circonstances de la présente espèce, ce qui est insuffisant compte tenu de la jurisprudence récente précitée. Cela scelle le sort de l'appel sur ce point, la troisième condition de l'art. 6 al. 2 let. d LPD (caractère indispensable de la transmission) n'étant pas réalisée. Il n'est dès lors pas nécessaire de traiter des griefs de l'appelante relatifs à l'absence d'intérêt de l'intimé à la non-transmission des données.

4. L'appelante fait encore valoir que la transmission de données au DOJ dans le contexte d'un accord de non-poursuite serait nécessaire pour « la défense d'un droit en justice » au sens de l'art. 6 al. 2 let. d, deuxième alternative, LPD.

Comme l'a jugé le Tribunal fédéral dans la cause TF 4A_611/2017 du 26 mars 2018 consid. 4.4, il n'y a pas lieu de se demander, comme le fait l'appelante, si la procédure menée devant le DOJ peut être considérée, pour la banque, comme « la défense d'un droit en justice ». Il suffit ici de relever que la communication des données, comme dans la première alternative de l'art. 6 al. 2 let. d LPD, doit aussi être indispensable pour constater, exercer ou défendre un droit en justice. Rien ne permet de retenir que le caractère indispensable de la communication aurait une signification différente dans les deux hypothèses de l'art. 6 al. 2 let. d LPD et l'appelante elle-même ne le soutient pas. Dès lors que le caractère indispensable de la transmission doit être nié en l'espèce (supra consid. 3.2.3.3), la banque ne peut pas non plus se prévaloir de la seconde hypothèse de l'art. 6 al. 2 let. d LPD pour remplir ses obligations envers le DOJ.

5. Il s’ensuit que l'appel doit être rejeté et le jugement entrepris confirmé.

Les frais judiciaires de deuxième instance, arrêtés à 2'000 fr. (art. 64 al. 1 TFJC [tarif des frais judiciaires civils du 28 septembre 2010 ; RSV 270.11.5]), seront mis à la charge de l’appelante, qui succombe (art. 106 al. 1 CPC).

Obtenant gain de cause, l’intimé a droit à des dépens pour la procédure d’appel, fixés à 3'000 fr. (art. 9 al. 2 TDC).

Par ces motifs,

la Cour d’appel civile

prononce :

I. L’appel est rejeté.

II. Le jugement est confirmé.

III. Les frais judiciaires de deuxième instance, arrêtés à 2'000 fr. (deux mille francs), sont mis à la charge de l’appelante Q.________.

IV. L’appelante Q.________ doit verser à l’intimé K.________ la somme de 3'000 fr. (trois mille francs) à titre de dépens de deuxième instance.

V. L’arrêt est exécutoire.

Le président : Le greffier :

Le présent arrêt, dont la rédaction a été approuvée à huis clos, est notifié à :

‑ Mes Jacques Iffland et Téo Genecand (pour la Q.________),

‑ Me Christian de Preux (pour K.________),

et communiqué, par l'envoi de photocopies, à :

‑ M. le Président du Tribunal civil de l’arrondissement de Lausanne.

Le présent arrêt peut faire l'objet d'un recours en matière civile devant le Tribunal fédéral au sens des art. 72 ss LTF (loi du 17 juin 2005 sur le Tribunal fédéral – RS 173.110), le cas échéant d'un recours constitutionnel subsidiaire au sens des art. 113 ss LTF. Dans les affaires pécuniaires, le recours en matière civile n'est recevable que si la valeur litigieuse s'élève au moins à 15'000 fr. en matière de droit du travail et de droit du bail à loyer, à 30'000 fr. dans les autres cas, à moins que la contestation ne soulève une question juridique de principe (art. 74 LTF). Ces recours doivent être déposés devant le Tribunal fédéral dans les trente jours qui suivent la présente notification (art. 100 al. 1 LTF).

Le greffier :