Luxembourg court allows appeal against Swiss bank's US data transfer, imposing heavy daily fines.

Arrêt N° 67/20 – VII – REF

Audience publique du six mai deux mille vingt

Numéro CAL-2019-00731 du rôle.

Composition:

Karin GUILLAUME, président de chambre; Yola SCHMIT, conseiller; Stéphane PISANI, conseiller; Daniel SCHROEDER, greffier.

E n t r e :

B),

appelant aux termes d’un exploit de l’huissier de justice Patrick KURDYBAN de Luxembourg en date du 22 juillet 2019, comparant par Maître Mathieu RICHARD, avocat à la Cour, demeurant à Luxembourg ;

e t :

la société de droit suisse X) (SCHWEIZ) AG, anc. BANK X) (SCHWEIZ) AG,

intimée aux fins du susdit exploit KURDYBAN du 22 juillet 2019, comparant par la société anonyme ARENDT & MEDERNACH, établie et ayant son siège social à L-2082 Luxembourg, 41A, avenue J.F. Kennedy, représentée aux fins de la présente procédure par Maître Philippe DUPONT, avocat à la Cour, demeurant à la même adresse. _________________________________________________________

LA COUR D’APPEL :

Faits et rétroactes de procédure :

B) était dans le passé en relations contractuelles directes ou indirectes avec la succursale luxembourgeoise de la société de droit suisse X) (SCHWEIZ) AG (anciennement « BANK X) (SCHWEIZ) AG ») (ci-après « la banque X) »), au titre de quatre relations bancaires, à savoir :

- le compte bancaire portant le numéro 34652, ouvert le 29 février 2004, au nom de B) ;

- le compte bancaire portant le numéro 25959, ouvert le 10 octobre 2001, au nom de la société S) LIMITED ;

- le compte bancaire portant le numéro 27759, ouvert le 21 septembre 2005, au nom de la société S) LIMITED ;

- le compte bancaire, ouvert le 11 mai 2003, au nom de la société V) HOLDING S.A. .

La Banque X) est sous le coup d’une procédure pénale aux Etats-Unis.

Informé par courrier du 13 août 2018 de Y), mandataire de la banque X), de la volonté de la banque de transmettre certaines de ses données personnelles aux autorités américaines, B) a saisi le 16 août 2018 le Tribunal de commerce de Zürich d’une demande en vue de voir interdire au provisoire à la banque de ce faire.

Par ordonnance du 17 août 2018, le Tribunal de commerce de Zürich a fait interdiction à la banque « à titre superprovisoire » de transmettre aux autorités américaines les données relatives au quatre relations bancaires permettant d’identifier B) et par jugement du 21 décembre 2018 ce même tribunal a « à titre provisoire » fait interdiction à la banque de transmettre aux autorités américaines les données relatives aux comptes des sociétés S) LIMITED et V) HOLDING S.A. sous peine de sanctions pénales.

Le Tribunal de commerce de Zürich s’est estimé incompétent concernant la relation bancaire liant B) à la banque X) à titre personnel au vu de l’existence dans les conditions générales d’ouverture du compte d’une clause attributive de juridiction en faveur des juridictions luxembourgeoises.

Par exploit d’huissier de justice du 28 janvier 2019, B) a fait donner assignation à la banque X) à comparaître devant le Président du Tribunal d’arrondissement de Luxembourg, siégeant comme juge des référés, pour voir interdire à la banque X), sur base de l’article 933 alinéa 1er du NCPC, sinon de l’article 932 alinéa 1er du NCPC, de transférer à quiconque, et plus particulièrement à une quelconque autorité américaine, dont le Ministère de la Justice des Etats-Unis (U.S. Department of Justice) (ci-après « le DOJ ») ses données bancaires tant en rapport avec son compte personnel qu’en rapport avec les comptes de la société S) LIMITED et de la société V) HOLDING S.A. (ci-après V)) desquelles il est le bénéficiaire économique, le tout sous peine d’une astreinte de 500.000.- euros par contravention.

Par ordonnance rendue contradictoirement en date du 7 juin 2019, un premier juge du Tribunal d’arrondissement de et à Luxembourg, siégeant comme juge des référés, en remplacement de Madame le Président du tribunal d’arrondissement de et à Luxembourg, s’est déclaré compétent pour connaître de la demande de B), l’a déclarée irrecevable pour autant qu’elle porte sur les comptes des sociétés S) LIMITED et V) et l’a déclarée non fondée sur toutes les bases légales invoquées pour autant qu’elle porte sur son compte personnel. Le premier juge a encore déclaré non fondée la demande de B) en obtention d’une indemnité de procédure et l’a condamné à payer à la banque X) une indemnité de procédure de 1.000.- euros.

Pour statuer ainsi, le premier juge a retenu qu’aucun droit n’est reconnu à B) en sa qualité de bénéficiaire économique de la société S) LIMITED sur les comptes de cette société, de sorte que sa demande est irrecevable pour autant qu’elle porte sur le compte n°25959 ouvert le 10 octobre 2001 et sur le compte n°27759 ouvert le 21 septembre 2005 au nom de la société S) LIMITED.

Le premier juge a encore retenu que le fait que son fils, B1), et sa mère, B2), soient les bénéficiaires économiques de la société V) ne saurait suffire à rapporter la preuve que B) est actionnaire direct de cette société. En conséquence, sa demande a encore été déclarée irrecevable pour autant qu’elle concerne le compte de la société V).

Concernant le compte personnel n°34652 de B), le juge de première instance a retenu que ce dernier reste en défaut de prouver le caractère manifestement illicite d’un trouble au sens de l’article 933 alinéa 1er du NCPC, étant donné que la notion et l’étendue des données pseudonymisées reste indéterminée, de sorte que l’on ne saurait conclure avec certitude si les données pseudonymisées permettent ou non aux autorités américaines une identification du client de la banque. Il en résulte que la question de savoir si un transfert de ces données se justifie pour des motifs d’intérêt public ou encore pour des motifs légitimes impérieux relèvent de l’appréciation du juge du fond et échappent au pouvoir d’appréciation sommaire du juge des référés. Pour ces mêmes motifs, B) reste en défaut de rapporter la preuve de la certitude ou de la vraisemblance d’un dommage qu’il importerait de prévenir au sens de l’article 933 alinéa 1er du NCPC.

Le premier juge a finalement retenu que B) reste en défaut de justifier de l’urgence et du caractère non sérieusement contestable de sa demande, de sorte que celle-ci est à rejeter sur base de l’article 932 alinéa 1er du NCPC.

Par exploit d’huissier de justice du 22 juillet 2019, B) a régulièrement relevé appel de l’ordonnance du 7 juin 2019 qui ne lui a pas été signifiée selon les dires des parties.

Il demande à la Cour, par réformation de l’ordonnance entreprise, d’interdire à la banque X) de transférer les données bancaires en sa possession à quiconque et plus particulièrement à une autorité américaine, dont le DOJ, relatives aux quatre conventions bancaires susmentionnées, le tout sous peine d’une astreinte de 500.000.- euros par contravention sur base de l’article 940 du NCPC.

Il demande, par réformation de l’ordonnance entreprise, une indemnité de procédure de 3.000.- euros pour la première instance et une indemnité de procédure de 5.000.- euros pour l’instance d’appel.

B) explique que par courrier du 23 avril 2018, il a été informé par le mandataire de la banque X) que cette dernière fait l’objet d’une enquête diligentée par le DOJ pour complicité de fraude fiscale et que dans le cadre de cette enquête elle se verrait contrainte de remettre à la Justice américaine un certain nombre d’informations, référencées comme « II.D.2. Information » concernant son compte personnel, les deux comptes de la société S) et le compte de la société V) indiqués dans son assignation.

Le but de la transmission de ces données consisterait à permettre à la banque de négocier une réduction de peine avec la Justice américaine dans le cadre du « US Program » ou « Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks » qui vise les banques suisses dans le cadre d’une enquête ouverte par les autorités judiciaires américaines à l’encontre de la banque X) pour complicité de fraude fiscale. La divulgation de ces données personnelles lui causerait toutefois, le cas échéant, un dommage aux conséquences irréversibles puisqu’elles pourraient servir de fondement à d’éventuelles poursuites à introduire contre lui aux Etats-Unis. Même si aucune poursuite éventuelle ne serait de nature à aboutir, B) conclut que le dommage pour sa réputation serait considérable et irréparable dans la mesure où, aux Etats-Unis, l’identité des prévenus est régulièrement publiée sur les sites internet du DOJ.

B) fait valoir que les données que la banque entend soumettre aux autorités américaines seraient couvertes par le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques et la transmission de ces données (ci-après « le RGPD »). Pour pouvoir transmettre ces données il faudrait au préalable soit disposer d’un consentement exprès de la part du client, ce qui ne serait pas le cas en l’espèce, soit que le pays vers lequel les données sont transférées est considéré comme fournissant des garanties de protection similaires à celles de la législation européenne, ce qui ne serait pas le cas pour les Etats- Unis, eu égard à un défaut d’adéquation de la Commission européenne. La transmission des données, mêmes pseudonymisées, envisagée par la banque X), constituerait partant une illégalité manifeste au regard du RGPD.

Il invoque encore que le tribunal de commerce de Zürich a interdit par jugement du 21 décembre 2018 à la banque X) tout transfert aux autorités américaines des données relatives aux comptes des sociétés dans lesquelles il figure comme bénéficiaire économique, au motif de l’existence d’un danger avéré du transfert des données en l’absence pour la banque d’avoir nié son intention de transférer des listes « II.D.2. Information » aux autorités américaines. Par ailleurs, et même si le tribunal de Zürich s’est déclaré incompétent par rapport à son compte personnel en raison de la clause de juridiction contractuelle, il aurait toutefois estimé approprié de maintenir l’interdiction de transfert des données concernant les coordonnées bancaires à son nom issues de la convention d’ouverture de compte du 29 février 2004 jusqu’à l’expiration du délai de recours d’un mois à compter de la notification du jugement du 21 décembre 2018.

La banque X) fait valoir que la notion de « trouble manifestement illicite » implique que la voie de fait s’est déjà réalisée et qu’il conviendrait donc de la faire cesser. Or, ce ne serait pas le cas en l’espèce, étant donné que B) soutient que la banque « livre ou s’apprête à livrer des données qui sont couvertes par la législation relative à la protection des données, sans son consentement ».

Le premier cas de figure visé par l’article 933, alinéa 1er du NCPC ne serait dès lors pas donné en l’espèce. Par ailleurs, B) ne solliciterait aucune mesure de remise en état.

Quant au deuxième cas de figure visé par l’article 933, alinéa 1er du NCPC, la banque X) conteste d’abord l’applicabilité du « Program for Non- Prosecution Agreements or Non-Target Letters for Swiss Banks », étant donné que ce programme ne s’appliquerait qu’aux seules banques qui ne font pas l’objet d’une enquête pénale aux Etats-Unis. Or ce ne serait pas le cas pour le groupe X), pour lequel une telle enquête pénale aurait été ouverte aux Etats-Unis.

Elle donne ensuite à considérer que si elle devait être amenée à négocier une réduction de peine avec la justice américaine, elle ignorerait quelles données exactes elle pourrait, le cas échéant, soumettre au DOJ. Il en découlerait que la simple supposition selon laquelle la banque puisse être amenée à soumettre des données personnelles au DOJ ne serait pas suffisante pour caractériser le dommage imminent. Elle en déduit encore que le dommage invoqué serait purement hypothétique et que la condition de l’urgence ne serait pas remplie.

A titre subsidiaire, elle précise que si elle était amenée à négocier une réduction de peine avec la justice américaine, elle ne transmettrait que des informations anonymisées au DOJ, conformément aux critères fixés par l’article 26 du RGPD, de sorte que cette transmission serait licite.

A titre plus subsidiaire, elle soutient que la transmission de données personnelles à B) serait licite au sens de l’article 49 du RGPD en raison du fait qu’une telle transmission interviendrait dans le cadre d’une défense en justice (exception visée par l’article 49, 1 (e) du RGPD) et qu’elle répondrait par ailleurs à des motifs importants d’intérêt public (exception visée par l’article 49, 1, (d) du RGPD), sinon à des intérêts légitimes impérieux (article 49,1, deuxième alinéa du RGPD).

Elle conclut dès lors au rejet de la demande sur base de l’article 933, alinéa 1er du NCPC.

Elle estime finalement que la demande devrait encore être rejetée sur base de l’article 932 alinéa 1er du NCPC, au motif que les conditions d’application de ce texte ne seraient pas réunies, au regard des contestations sus-invoquées et de l’absence d’urgence.

Elle invoque finalement qu’il y aurait, le cas échéant, lieu de restreindre l’étendue de la mesure d’interdiction aux seules données personnelles au sens de l’article 4 du RGPD que les circonstances ne justifieraient pas qu’une astreinte soit prononcée.

Appréciation de la Cour :

Il convient de relever que la compétence territoriale des juridictions luxembourgeoises ne se trouve actuellement plus critiquée par la banque X).

Elle n’est par ailleurs pas critiquable, étant donné que la mesure sollicitée porte sur des comptes tenus au Luxembourg par la succursale luxembourgeoise de la banque X), de sorte que les juridictions luxembourgeoises sont les mieux placées pour ordonner des mesures urgentes en rapport avec ces comptes.

Quant à la recevabilité de la demande :

La banque X) invoque l’irrecevabilité de la demande concernant les comptes des sociétés S) et V) en application de l’adage « nul ne plaide par procureur », au motif que les sociétés S) et V) ne seraient pas parties à l’instance. Elle invoque encore le défaut de qualité ou d’intérêt à agir de B) concernant les comptes des sociétés S) et V) ainsi que l’absence de données personnelles à B) résultant de ces comptes.

L’adage « nul ne plaide par procureur » n’est pas applicable en l’espèce, étant donné que la demande de B) tend à voir ordonner l’interdiction de communiquer des données permettant de l’identifier à travers les informations détenues par la succursale luxembourgeoise de la banque X) relatives aux comptes des sociétés S) et V). Sont ainsi visées les données personnelles de l’appelant et non pas des données des sociétés S) et V).

Le défaut de qualité ou d’intérêt à agir se trouve invoqué par rapport aux comptes tenus par les sociétés S) et V), pour lesquels B) ne justifierait que d’une qualité directe ou indirecte en tant que bénéficiaire économique. Or, la jurisprudence luxembourgeoise qualifierait cette notion comme étant exclusivement de nature bancaire, sans aucun contenu en droit civil.

Il suffit que le demandeur prétende qu’il y a eu lésion d’un droit et que l’action intentée puisse y remédier. L’intérêt à agir existe dès lors indépendamment du résultat que procure effectivement l’action et n’est pas subordonné à la démonstration préalable du bien-fondé de l’action ou de l’existence réelle du droit invoqué ou de l’existence du préjudice invoqué. L’intérêt à agir existe lorsque le résultat de la demande introduite est de nature à modifier ou à améliorer la condition juridique du demandeur. Il faut qu’il y ait lésion d’un droit du demandeur et que l’action intentée puisse y remédier (T. Hoscheit, Le droit judiciaire privé, p. 462 et 463).

L’intérêt à agir peut se définir comme le profit, l’utilité ou l’avantage que l’action est susceptible de procurer au plaideur (L. Cadiet, Droit judiciaire privé, Litec 2000, n°843). Une personne a intérêt à agir lorsque la demande formée est susceptible de modifier, en l’améliorant sa condition juridique et il suffit qu’elle affirme que tel est le cas (CSJ, 18 janvier 1994, n°15349 du rôle).

Toute personne qui prétend qu’une atteinte est portée à un droit lui appartenant et qui profitera personnellement de la mesure qu’elle réclame a un intérêt à agir en justice.

Tel étant le cas en l’espèce, le moyen tiré du défaut de qualité ou d’intérêt à agir est à rejeter.

En effet, le moyen d’irrecevabilité tiré de l’absence de caractère personnel concernant les données sur l’ouverture et la clôture des comptes des sociétés S) et V) doit être rejeté, étant donné qu’au stade de la recevabilité de la demande, il suffit que le demandeur prétende qu’il est possible de conclure à des données personnelles au demandeur et partant à son identification à partir des données sur l’ouverture et la clôture des comptes des sociétés S) et V). A cet effet, B) invoque d’une part que son identification en tant que bénéficiaire économique de la société S) LIMITED constitue une donnée personnelle, et d’autre part, que la banque X) a elle-même indiqué au cours de la procédure judiciaire en Suisse que le litige a trait à quatre relations bancaires qui permettraient de l’identifier. Il fait dès lors valoir que la banque X) serait en aveu que le fait que son fils et sa mère soient renseignés comme les bénéficiaires économiques de la société V) permet de l’identifier. B) prétend dès lors à la protection de données se rapportant à sa propre personne.

Par réformation de l’ordonnance entreprise, il y a partant lieu de retenir que la demande de B) est également recevable pour autant qu’elle porte sur les données des comptes des sociétés S) et V).

Quant au bien-fondé de la demande :

Aux termes de l’article 933 alinéa premier du NCPC, « Le président, ou le juge qui le remplace, peut toujours prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite ».

Le trouble manifestement illicite peut se définir comme « toute perturbation résultant d’un fait matériel ou juridique qui, directement ou indirectement, constitue une violation évidente de la règle de droit ». Le trouble manifestement illicite procède donc de la méconnaissance d’un droit, d’un titre, ou, corrélativement, d’une interdiction les protégeant. Le trouble consiste donc dans un acte, ou une abstention s’inscrivant en méconnaissance de l’ordre juridique établi. Il s’agit, d’autre part, de préserver ou rétablir un statu quo avant l’intervention du juge du fond. Le juge des référés se voit ainsi assigner la tâche de prévenir ou de mettre un terme aux faits générateurs de troubles, ce qui constitue une mission primordiale, eu égard aux risques et à la gravité de tels actes, dont les conséquences ne peuvent qu’être aggravées par les lenteurs des juridictions du fond (Xavier Vuitton, Jacques Vuitton, Les référés, 3ème édition, Lexisnexis, n°281 et suiv.).

Il y a partant deux cas d’ouverture de ce référé-sauvegarde, à savoir le trouble manifestement illicite, lequel est assimilable à une voie de fait, et la prévention d’un dommage imminent.

a) le trouble manifestement illicite :

Le trouble manifestement illicite se définit comme « toute perturbation résultant d’un fait matériel ou juridique qui, directement ou indirectement, constitue une violation évidente de la règle de droit ». Le trouble manifestement illicite procède donc de la méconnaissance d’un droit, d’un titre, ou corrélativement, d’une interdiction les protégeant (Jacques et Xavier VUITTON, Les référés, 3° édition, n° 282).

Le trouble consiste dans un acte ou une abstention s’inscrivant en méconnaissance de l’ordre juridique établi qu’il faut, d’une part, faire cesser pour être inadmissible en tant que constituant une illicéité. Il s’agit d’autre part, de préserver ou rétablir un statu quo avant l’intervention du juge du fond (eodem loco, n° 285).

L’illicéité se comprend comme la méconnaissance d’une norme juridique obligatoire, que son origine soit délictuelle ou contractuelle, législative ou réglementaire, de nature civile ou pénale. Quel que soit le droit auquel il est porté atteinte, l’action peut également tendre à s’opposer à un procédé auquel une partie aurait recours pour régler le différend, obtenir le bénéfice de ce droit ou éviter d’assumer une obligation. Peu importe dans ce cas, que l’auteur du trouble ait ou non raison sur le fond du droit. L’illicéité tient en ce qu’il s’est fait justice à lui-même et a recouru à une voie de fait pour clore le différend qui l’oppose à la partie adverse, ce qui consacre l’existence d’un trouble manifestement illicite (eodem loco, n°

288 et 291).

Le caractère manifeste du trouble illicite renvoie à la raison d’être initiale du juge des référés, juge de l’immédiat, de l’évident, ce qui paraît impliquer une intervention dans un litige exempt de doute. Le juge des référés ne disposant pas de temps et son intervention ne supportant pas de retard, le trouble dont il est saisi doit être incontestable. L’intervention du juge des référés reste nécessairement marquée par une évidence, même s’il est autorisé à procéder à des recherches plus approfondies qu’autrefois pour la mettre en évidence (eodem loco, n° 293).

Il suit de la nécessité du caractère manifeste du trouble que le juge des référés n’est plus compétent s’il existe une contestation sérieuse au fond par rapport au trouble illicite.

La demande est donc irrecevable lorsque la contestation porte soit sur l’existence même du trouble allégué, soit sur le prétendu caractère manifestement illicite de ce trouble.

En l’espèce, les parties sont unanimes pour soutenir qu’à ce jour, la banque X) n’a pas encore procédé au transfert de données personnelles, mais a simplement manifesté son intention de ce faire en cas d’une requête par les autorités judiciaires américaines.

Le litige n’a partant pas trait à la nécessité de faire cesser un trouble manifestement illicite.

b) le dommage imminent :

B) fait valoir que la divulgation des données personnelles protégées par le RGPD lui causerait, le cas échéant, un dommage aux conséquences irréversibles puisqu’elles pourraient servir de fondement à d’éventuelles poursuites à introduire contre lui aux Etats-Unis. Par ailleurs, même si aucune poursuite éventuelle ne serait de nature à aboutir, il estime que le dommage pour sa réputation serait considérable et irréparable dans la mesure où, aux Etats-Unis, l’identité des prévenus est régulièrement publiée sur les sites internet du DOJ.

Il soutient que les données personnelles indiquées par la banque X) dans son courrier du 23 avril 2018 (qui correspondraient aux données indiquées dans un « Muster/Template » qu’il verse en cause) seraient à qualifier de données pseudonymisées au sens du RGPD au vu du considérant 26 de ce texte. Dans la mesure où il s’agit d’une notion de droit communautaire, il y aurait lieu, le cas échéant, en cas de doute sur la notion et l’étendue de cette notion, de surseoir à statuer pour interroger la Cour de Justice de l’Union Européenne par voie préjudicielle sur l’interprétation qu’il convient d’y donner.

La banque X) conteste l’interprétation faite par l’appelant du contenu du courrier du 23 avril 2018, notamment en ce qui concerne les données qu’elle serait le cas échéant amenée à transmettre aux autorités judiciaires américaines, soutenant ignorer la nature exacte des données qui seraient le cas échéant à transférer. Elle conteste dès lors toute application du « Muster/Template » invoqué par B).

Elle se prévaut ensuite de diverses exceptions expressément prévues par le RGPD, notamment à l’article 49, pour soutenir qu’un transfert des données personnelles litigieuses serait parfaitement licite en l’espèce.

Le dommage imminent s’entend du dommage qui ne s’est pas encore réalisé, mais qui se produira sûrement si la situation présente doit se perpétuer (H. SOLUS et R. PERROT, droit judiciaire privé, tome 3, n°12789). La mission du juge des référés consiste à éviter qu’une situation irréversible ne se crée, qui consacrerait un dommage pouvant être illégitime. Le risque de dommage doit simplement être évident, à défaut de quoi ce dernier ne pourrait pas être imminent, donc sur le point de se réaliser et dont la survenance et la réalité sont certaines (JurisClasseur procédure civile, fasc. 1200-95, n°69).

L’article 4.1) du RGPD définit la notion de « données à caractère personnel» comme étant « toute information se rapportant à une personne physique identifiée ou identifiable (…) ». L’article 4.1) du RGPD précise encore qu’ « est réputée être une « personnes physique identifiable » une personne physique qui peut être identifiée directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

Contrairement à ce qu’a retenu le juge de première instance, la notion de pseudonymisation est définie par l’article 4, paragraphe 5 du RGPD comme étant « le traitement de données à caractère personnel de telle façon qu’elles ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que celles-ci soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir cette non-attribution à une personne identifiée ou identifiables ». Contrairement aux données anonymisées, les données pseudonymisées sont toujours des données à caractère personnel et sont soumises à la législation relative à la protection des données.

Dans la mesure où l’étendue de la notion de « données à caractère personnel » vise au sens large « toute information » et « toutes sortes d’information » (d’ordre privé ou professionnelles ; informations sensibles, comme celles relatives aux origines raciales, ethniques, à la santé ou à l‘appartenance syndicale ; objective, mais aussi subjective), l’étendue de la notion de « données pseudonymisées » est toute aussi large et couvre toutes sortes de cryptage.

En effet, l’appréciation que la Cour de justice de l’Union Européenne fait de la notion de « personne identifiable » est très large et ne requiert pas que « toutes informations permettant d’identifier la personne concernée doivent se trouver entre les mains d’une seule personne » (CJUE, 19 octobre 2016, aff. C-582/14, Breyer c/ Bundesrepublik Deutschland, pt. 43). Il suffit de disposer, pour identifier un individu, d’informations complémentaires et que, même si celles-ci sont détenues par un tiers, une telle circonstance « n’apparaît ainsi pas de nature à exclure » (CJUE, 19 octobre 2016, op. cit, pt. 44) la qualification en données personnelles. Encore faut-il que les moyens susceptibles d’être mis en œuvre par le responsable de traitement restent raisonnables (CJUE, 19 octobre 2016, op. cit, pt. 45). Il en va ainsi de l’existence de « voies légales » permettant de s’adresser à l’autorité compétente afin que celle-ci entreprenne les démarches nécessaires pour obtenir ces informations et pour déclencher des poursuites pénales CJUE,

19 octobre 2016, op. cit, pt. 47).

Il n’y a dès lors pas lieu de surseoir à statuer en attendant le résultat d’une question préjudicielle à poser à la Cour de Justice de l’Union Européenne sur l’interprétation qu’il convient de donner à cette notion.

Il n’est pas contesté que les Etats-Unis ne font pas l’objet d’une décision d’adéquation par la Commission européenne au sens de l’article 45 du RGPD.

Il résulte par ailleurs de l’échange de courriels entre parties, ainsi que du présent litige, que B) refuse de donner à la banque son accord pour le transfert de ses données à caractère personnel aux autorités judiciaires américaines.

Suivant rappel du considérant 1 du RGPD et de l’article 8, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne et de l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne, la protection d’une personne physique à l’égard du traitement des données à caractère personnel est un droit fondamental. Il en résulte que l’interdiction de divulguer des données à caractère personnel constitue le principe et la divulgation sous certaines conditions l’exception.

Suivant courrier du 23 avril 2018, le mandataire de la banque X) informe le mandataire de l’appelant que « in the absence of a (bank secrecy) waiver, the Bank may disclose to the DOJ the date the account was opened and, where applicable, the maximum value of the amount, and the fact that you client is a U.S. citizin ». Par courrier du 13 août 2018, le mandataire de la banque X) informe encore le mandataire de l’appelant que « it is wellestablished that Swiss banks may provide the U.S. authorities with information similar to that requested by the DOJ in paragraph II.D.2 of the Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks (i.e. « II.D.2 Information »).

Il résulte des termes de ces courriers que la banque X) a l’intention de transférer aux autorités américaines des données similaires à celles résultant des listes II.D.2 établies par le DOJ dans le cadre du Program for Non- Prosecution Agreements or Non-Target Letters for Swiss Banks. Au vu du « Muster/Template » versé en cause par B) et de l’énumération des données que la banque X) est disposée à transférer aux autorités judiciaires américaines aux termes de son courrier du 23 avril 2018, il n’est pas contestable que ces données constituent des données à caractère personnel, mêmes lorsque ces données seront pseudonymisées.

Il y a dès lors lieu de retenir que B) a établi à suffisance de droit que les données que la banque X) s’apprête à transférer aux autorités américaines dès réception d’une requête en ce sens constituent des données à caractère personnel protégées par le RGPD.

Il résulte encore des courriers précités que le caractère imminent du dommage est suffisamment caractérisé et certain pour justifier la mesure sollicitée, étant donné que la certitude du transfert des données à caractère personnel n’est pas contestée par la banque X), du moment qu’elle se trouve en présence d’une requête par les autorités américaines de ce faire et qu’une telle requête peut lui parvenir à tout instant.

A défaut pour la banque X) de justifier d’éléments justifiant manifestement son droit d’invoquer l’existence d’une situation d’exception lui permettant d’invoquer la licéité du transfert des données à caractère personnel au regard des dispositions de l’article 49 du RGPD, situation dont l’appréciation approfondie échapperait au pouvoir d’appréciation sommaire du juge des référés, il y a lieu de faire droit à la demande de B) sur base de l’article 933 alinéa 1er du NCPC.

L’appel est partant fondé.

Au vu de la persistance de la banque X) à vouloir justifier le transfert des données litigieux « anonymisées, au pire pseudonymisées » (voire note de plaidoirie p. 18 deuxième alinéa), faisant ainsi un amalgame entre les données non protégées et les données protégées par le RGPD, il y a encore lieu de faire droit à la demande tendant à voir assortir l’interdiction de ce faire de l’astreinte, sauf à la réduire à de plus justes proportions et de la fixer au montant de 100.000.- euros par contravention.

Quant aux demandes en allocation d’une indemnité de procédure :

N’ayant pas obtenu gain de cause, la banque X) ne saurait prétendre à l’allocation d’une indemnité de procédure sur base de l’article 240 du NCPC pour l’instance d’appel.

En revanche, il y a lieu de décharger B) de la condamnation à payer une indemnité de procédure à la banque X) pour la première instance et par réformation, de lui allouer une telle indemnité à hauteur de 1.000.- euros pour cette première instance.

Il y a encore lieu de faire droit à sa demande en allocation d‘une indemnité de procédure pour l’instance d’appel, laquelle est fondée et justifiée au vu des éléments du litige à concurrence de 2.000.- euros.

PAR CES MOTIFS :

la Cour d'appel, septième chambre, siégeant en matière d’appel de référé, statuant contradictoirement,

reçoit l’appel de B) en la pure forme ;

réformant :

déclare la demande de B) également recevable pour autant qu’elle porte sur les comptes de la société S) LIMITED et sur le compte de la société V) HOLDING S.A. ;

déclare l’appel fondé ;

réformant :

interdit à la société de droit suisse X) (SCHWEIZ) AG de transférer les données bancaires personnelles de B) en sa possession à quiconque et plus particulièrement à une quelconque autorité américaine, dont le DOJ, relatives aux conventions bancaires suivantes :

- le compte bancaire portant le numéro 34652, ouvert le 29 février 2004, au nom de B) ;

- le compte bancaire portant le numéro 25959, ouvert le 10 octobre 2001, au nom de la société S) LIMITED ;

- le compte bancaire portant le numéro 27759, ouvert le 21 septembre 2005, au nom de la société S) LIMITED ;

- le compte bancaire, ouvert le 11 mai 2003, au nom de la société V) HOLDING S.A. ;

le tout sous peine d’une astreinte de 100.000.- euros par contravention (soit par donnée transférée) ;

fixe le maximum de l’astreinte à 1.000.000.- euros ;

décharge B) de la condamnation à payer une indemnité de procédure de 1.000.-euros à la société de droit suisse X) (SCHWEIZ) AG pour la première instance ;

condamne la société de droit suisse X) (SCHWEIZ) AG à payer à B) une indemnité de procédure de 1.000.- euros pour la première instance ;

rejette la demande de la société de droit suisse X) (SCHWEIZ) AG en obtention d’une indemnité de procédure pour l’instance d’appel ;

condamne la société de droit suisse X) (SCHWEIZ) AG à payer à B) une indemnité de procédure de 2.000.- euros pour l’instance d’appel ;

condamne la société de droit suisse X) (SCHWEIZ) AG aux frais et dépens des deux instances.