4A_406/2014 - 2015-01-12 - Vertragsrecht

Bundesgericht
Tribunal fédéral
Tribunale federale
Tribunal federal

{T 0/2}

4A_406/2014; 4A_408/2014

Arrêt du 12 janvier 2015

Ire Cour de droit civil

Composition
Mmes et M. les Juges fédéraux Kiss, Présidente, Klett, Kolly, Hohl et Niquille.
Greffier : M. Piaget.

Participants à la procédure
A.________ SA,
représentée par Me Shelby du Pasquier et Me Daniel Tunik, Lenz & Staehelin,
recourante,

contre

4A_406/2014
B.________, représentée par Me Douglas Hornung,
intimée,

4A_408/2014
C.________, représenté par Me Douglas Hornung,
intimé;

Objet
protection des données,

recours contre les arrêts de la Cour de justice du canton de Genève, Chambre civile, du 23 mai 2014.

Faits :

A.

A.a. A.________ SA (ci-après: A.________ ou la banque), établissement bancaire sis à Genève, a employé C.________ (ci-après: l'employé) en qualité de responsable du service " Asset Management Private Banking " de 1996 jusqu'à son licenciement en octobre 2008 (pour le 30 avril 2009). L'employé occupait également le poste de directeur de l'unité de gestion basée à New York et s'était rendu aux Etats-Unis dans ce cadre.

B.________ (ci-après: l'employée) a également travaillé pour la banque, du 1 er mars 2006 au 30 juin 2007. Elle a notamment été chargée de développer la clientèle américaine.

A.b. En 2008, les autorités américaines ont ouvert une enquête contre D.________ SA, suspectée d'avoir aidé des clients américains à éluder l'impôt américain, et elles ont requis à ce sujet l'entraide administrative auprès des autorités suisses.

A la fin de l'année 2008, insatisfaite de la procédure d'entraide, les autorités américaines ont exigé la transmission immédiate de données relatives aux clients américains.

Un accord a été conclu, le 18 février 2009, entre les autorités américaines et D.________ SA et, le même jour, sur ordre de l'Autorité fédérale de surveillance des marchés financiers (FINMA), la banque a transmis, par l'intermédiaire de cette autorité, les dossiers de 255 clients aux autorités américaines. La décision de la FINMA a été confirmée par le Tribunal fédéral (ATF 137 II 431).

En 2010, les autorités américaines ont ouvert des enquêtes contre onze autres banques suisses, dont A.________, qu'elles soupçonnaient d'avoir aidé des clients américains à se soustraire à leurs obligations fiscales ainsi que d'avoir contrevenu à la réglementation applicable lors des contacts intervenus avec ces clients. Elles ont requis l'entraide administrative de la Suisse en vue d'obtenir des renseignements sur les activités des banques visées aux Etats-Unis.

A.________ et les autres banques ont transmis les documents requis aux autorités américaines après avoir, sur requête de la FINMA, caviardé les informations permettant l'identification des clients et remplacé les données de ses employés, de ses ex-employés et de tiers par des codes.

Le 9 décembre 2011, les autorités américaines ont demandé aux banques visées de leur transmettre un certain nombre de documents complémentaires (en particulier sur les employés s'étant rendus aux Etats-Unis pour communiquer avec des clients américains) si elles voulaient éviter une inculpation.

Le 18 janvier 2012, le Conseil fédéral a décidé que, provisoirement, seules devaient être transmises, dans le cadre de l'entraide, des données codées concernant les employés.

Au début du mois de février 2012, les autorités américaines ont procédé à l'inculpation de la banque E.________ SA.

Mi-mars 2012, plusieurs banques ont demandé au Conseil fédéral d'autoriser la communication des informations exigées, comprenant le nom des employés (non codé) et des tiers.

Le 4 avril 2012, le Conseil fédéral a autorisé les banques concernées à transmettre directement aux autorités américaines des données non anonymisées, à l'exception de celles concernant les clients. Cette décision valait autorisation, au sens de l'art. 271 CP, à procéder sur le territoire suisse pour le compte d'un Etat étranger à des actes relevant des pouvoirs publics. L'appréciation de la responsabilité civile des banques demeurait cependant du ressort de ces dernières.

Le 11 avril 2012, la FINMA a recommandé aux banques concernées de coopérer avec les autorités américaines dans le cadre prévu par le Conseil fédéral, en précisant que la procédure d'entraide administrative était, de ce fait, suspendue.

Parallèlement à quatre autres banques, A.________, sans avertir les employés concernés, a transmis aux autorités américaines, au mois d'avril 2012, des documents comportant notamment les noms, prénoms, adresses mails et numéros de téléphone d'employés et d'ex-employés, seules les données permettant d'identifier les clients étant restées anonymisées.

A.c. C.________ a appris ce qui précède par la presse; il a contacté le service des ressources humaines de A.________, lequel l'a informé que son identité avait effectivement été communiquée aux autorités américaines.

Le 14 juin 2012, l'employé a consulté dans les locaux de A.________ les documents litigieux le concernant.

Le 29 juin 2012, il a expliqué vouloir partir durant l'été aux Etats-Unis avec ses enfants et notamment demandé à la banque une copie des documents transmis pour se défendre s'il était interrogé ou arrêté.

Le 3 juillet 2012, A.________ a autorisé l'employé à consulter une seconde fois les documents, ce qu'il a fait le 10 juillet 2012. Il n'a toutefois pas pu en faire des copies.

La banque a refusé d'accéder à la nouvelle requête, présentée par l'employé le 11 juillet 2012, tendant à la remise de copies.

A.d. Le 11 juillet 2012, B.________, ayant eu connaissance de ce qui précède par la presse, a demandé à A.________ si elle était également concernée; la banque lui a confirmé que tel était le cas.

Le 24 juillet 2012, l'employée s'est rendue dans les locaux de la banque pour prendre connaissance des documents litigieux la concernant.

Le 20 août 2012, elle s'est plainte auprès de la banque de la transmission des données et elle a requis diverses informations.

Le 6 septembre 2012, B.________ a requis de A.________ une copie, sous forme informatique, des documents litigieux, ainsi que de la lettre d'accompagnement remise aux autorités américaines et de divers autres éléments.

Le 13 septembre 2012, A.________ s'y est opposée et, le 19 septembre 2012, l'employée a persisté à requérir une copie des documents transmis.

A.e. Le 17 août 2012, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a ouvert une procédure d'éclaircissement au sens de l'art. 29 de la loi sur la protection des données (LPD), afin de vérifier si les principes de la loi avaient été respectés lors de la transmission des données par les banques suisses aux autorités américaines.

Le 6 septembre 2012, le PFPDT a adressé des recommandations à plusieurs banques, parmi lesquelles A.________, selon lesquelles la banque devait accorder aux personnes concernées (collaborateurs actuels et anciens, ainsi que tiers externes) le droit d'accès aux données selon l'art. 8 LPD. Le PFPDT a adhéré à l'argumentation de la banque qui faisait valoir que des copies de documents ne pouvaient pas être remises au vu de leur sensibilité liée au secret bancaire et à celui de la clientèle, ainsi que de ses propres règles de sécurité.

La banque ne s'est pas opposée aux recommandations du PFPDT, qui ont été publiées le 13 novembre 2012.

Le 3 juillet 2013, le Conseil fédéral a fixé les principes de coopération des banques suisses avec les autorités américaines en vue de régler leur différend fiscal, et il a donné la possibilité aux banques de demander une autorisation individuelle au sens de l'art. 271 CP. Il a notamment précisé qu'une telle autorisation excluait uniquement une punissabilité en vertu de cette disposition, mais qu'elle ne dispensait pas du respect des autres règles du droit suisse, notamment de la prise en compte du secret d'affaires et du secret bancaire existants, des dispositions sur la protection des données et des obligations de l'employeur.

B.

B.a. Par acte du 14 décembre 2012, agissant au bénéfice d'une autorisation de procéder du 15 novembre 2012, C.________ a saisi le Tribunal de première instance de Genève d'une requête contre A.________.

Par acte du 14 décembre 2012, agissant au bénéfice d'une autorisation de procéder du 5 décembre 2012, B.________ a saisi ce même Tribunal d'une requête contre A.________.

Dans leurs conclusions (réduites lors des plaidoiries du 10 juillet 2013), les employés requièrent la production d'une copie des documents transmis aux autorités américaines, sous forme informatique et caviardée s'agissant des noms des clients ou des tiers, ainsi que la communication de la date de la transmission et de la manière dont les données avaient été communiquées, avec suite de frais.

B.b. Par deux jugements séparés du 24 octobre 2013, le Tribunal de première instance de Genève a ordonné à A.________ de remettre aux demandeurs, sur un support papier ou sur un support électronique, une copie des documents qui avaient été transmis aux autorités américaines et qui contenaient des données les concernant, soit des informations qui les identifiaient ou qui permettaient de les identifier (nom, prénom, adresse e-mail, numéro de téléphone, fonction, description de l'activité, etc.) (ch. 1 du dispositif). Le Tribunal a en outre dit que les données des clients, des autres employés et ex-employés de A.________ ainsi que des tiers figurant dans ces documents pourraient être caviardées (ch. 2). Il a en sus ordonné à A.________ d'indiquer aux demandeurs à quelles dates et à quelles autorités américaines les documents avaient été transmis (ch. 3). Il a mis les frais à la charge de la défenderesse et condamné celle-ci à verser aux demandeurs des dépens (ch. 4 à 9). Enfin, il a débouté les parties de toutes autres conclusions (ch. 10).

Le 27 novembre 2013, la défenderesse a interjeté un appel devant la Chambre civile de la Cour de justice du canton de Genève.

Par deux arrêts séparés datés du 23 mai 2014, la Cour de justice a confirmé les jugements entrepris et débouté les parties de toutes autres conclusions.

C.
Contre ces deux arrêts cantonaux, la banque (ci-après: la recourante ou la banque) exerce deux recours en matière civile séparés mais comportant les mêmes critiques et conclusions (sauf en ce qui concerne l'objet de la requête d'accès aux données et la décision entreprise). Sous suite de frais et dépens, elle conclut à l'annulation des arrêts visés et à ce que les employés soient déboutés de toutes autres conclusions, subsidiairement, à l'annulation des arrêts entrepris et au renvoi de la cause à l'autorité cantonale.
Les employés (ci-après: les intimés ou les employés) concluent, sous suite de frais et dépens, à ce que la banque soit déboutée de toutes ses conclusions.

La requête d'effet suspensif sollicitée dans chaque cause par la recourante a été admise, faute d'opposition, par ordonnances présidentielles du 1 er septembre 2014.

Considérant en droit :

1.
Vu la connexité évidente des deux recours, il se justifie de joindre les procédures, étant précisé que les deux intimés sont par ailleurs représentés par le même mandataire.

2.
Le Tribunal fédéral examine d'office et librement sa compétence, respectivement la recevabilité des recours qui lui sont soumis (ATF 134 III 115 consid. 1, 235 consid. 1, 379 consid. 1).

2.1. Les litiges concernent principalement l'application de la loi fédérale sur la protection des données (LPD; RS 235.1). Il s'agit en l'occurrence d'une action civile menée, sur la base des art. 8 et 9 LPD, par deux ex-employés contre une banque; les causes divisent deux personnes privées et il s'agit donc, dans chaque cas, d'une contestation civile (art. 72 LTF; arrêt 4A_184/2014 du 5 août 2014 consid. 1). Elle porte sur un droit de nature non pécuniaire (arrêt 4A_688/2011 du 17 avril 2012 consid. 1 non publié in ATF 138 III 425) et le recours en matière civile est donc ouvert sans restriction quant à la valeur litigieuse (cf. art. 74 al. 1 LTF a contrario ).

Pour le reste, les recours visent des arrêts qui mettent fin à la procédure et doivent être qualifiés de décisions finales (art. 90 LTF). Ils sont interjetés par la partie qui a succombé dans ses conclusions prises devant l'autorité précédente et qui a donc qualité pour recourir (art. 76 al. 1 LTF), et ils sont dirigés contre des décisions rendues par un tribunal supérieur statuant sur recours (art. 75 al. 1 et 2 LTF), si bien que les recours en matière civile sont en principe recevables puisqu'ils ont été déposés dans le délai (art. 45 al. 1 , 48 al. 1 et 100 LTF) et la forme (art. 42 LTF) prévus par la loi.

2.2. Le recours en matière civile peut être interjeté pour violation du droit, tel qu'il est délimité par les art. 95 et 96 LTF. Il peut donc également être formé pour violation d'un droit constitutionnel (ATF 136 I 241 consid. 2.1 p. 247; 136 II 304 consid. 2.4 p. 313).

2.3. Le Tribunal fédéral conduit son raisonnement juridique sur la base des faits établis par l'autorité précédente (art. 105 al. 1 LTF). Il ne peut s'en écarter que si les faits ont été établis de façon manifestement inexacte - ce qui correspond à la notion d'arbitraire (ATF 136 II 304 consid. 2.4 p. 314; 135 III 127 consid. 1.5 p. 130) - ou en violation du droit au sens de l'art. 95 LTF (art. 105 al. 2 LTF). Une rectification de l'état de fait ne peut être demandée que si elle est de nature à influer sur le sort de la cause (art. 97 al. 1 LTF).

3.

3.1. Le Tribunal de première instance, dans ses jugements du 24 octobre 2013, a considéré que les documents dont une copie était sollicitée par les employés contenaient des données personnelles les concernant et que, dans la mesure où ils avaient fait l'objet d'une communication aux autorités américaines et où la requête des employés n'était pas abusive, un droit d'accès devait leur être assuré.

Il a retenu que les motifs de refus ou de restriction d'un tel droit invoqués par la banque étaient infondés et jugé qu'aucune circonstance particulière ne justifiait une dérogation à la remise, sous la forme d'une copie, des documents en cause.

Il a ordonné à la banque de remettre aux employés une copie des documents transmis aux autorités américaines comportant des informations les identifiant, en autorisant (ce qui n'était pas litigieux) le caviardage des noms des clients, des (ex-) collaborateurs et des tiers y figurant.

3.2. Dans ses arrêts du 23 mai 2014, la Cour de justice examine si la banque peut s'opposer au droit d'accès dont se prévalent les employés en faisant valoir des intérêts prépondérants.

Elle observe que la banque ne fait plus valoir, devant elle, l'intérêt de ses clients ou celui de ses collaborateurs ou d'autres tiers pour fonder son opposition à la remise d'une copie des documents (art. 9 al. 1 let. b LPD); dans une argumentation subsidiaire, elle précise que le moyen serait quoi qu'il en soit d'emblée infondé dès lors que les documents litigieux ne comportent pas d'informations rendant possible l'identification des clients, et que la banque a été autorisée par le premier juge à anonymiser les éléments permettant de reconnaître ses (ex-) collaborateurs et les tiers. Selon la cour cantonale, la banque ne peut pas non plus tirer parti d'une quelconque base légale formelle au sens de l'art. 9 al. 1 let. a LPD.

La cour précédente considère que la banque ne peut pas se prévaloir de son propre intérêt prépondérant au sens de l'art. 9 al. 4 LPD dans la mesure où elle a antérieurement volontairement remis les documents litigieux à un tiers (autorités américaines), alors qu'elle n'y était pas contrainte par une obligation légale, résultant du droit suisse ou américain. Subsidiairement, les magistrats cantonaux relèvent que, même à suivre la thèse de la banque selon laquelle celle-ci aurait communiqué les données litigieuses sur une base obligatoire, elle ne pourrait plus, vu l'interprétation restrictive qu'il convient de faire de l'art. 9 al. 4 (in fine ) LPD, se prévaloir d'un intérêt prépondérant.

La cour précédente juge " en tout état de cause " que, même à admettre la prise en considération des intérêts propres de la banque, le moyen invoqué par celle-ci devrait être rejeté au motif que de tels intérêts ne l'emportent pas sur ceux des employés. En effet, l'autorité cantonale relève que la requête des employés n'a pas une vocation chicanière, mais que ceux-ci désirent pouvoir, d'une part, estimer les risques d'être inquiétés par les autorités américaines et, d'autre part, évaluer l'opportunité d'assigner la banque en responsabilité dans le cadre civil. Les employés ont d'ailleurs déjà pris connaissance du contenu des documents, aussi bien au cours de leur ancienne activité professionnelle que par le biais de leur consultation respective sur place et les éventuelles informations confidentielles leur sont déjà connues. D'un autre côté, le risque potentiel (pour la banque) que les employés divulguent les documents en dehors d'une procédure judiciaire est relativisé par leurs obligations vis-à-vis de leur ancien employeur, en particulier celui relatif au secret bancaire, lesquelles les exposeraient, le cas échéant, à des poursuites pénales.

La cour cantonale estime enfin que la banque ne saurait s'opposer à la remise d'une copie écrite des documents, sous réserve des exceptions admises par le Conseil fédéral (art. 8 al. 5 LPD), lesquelles supposent l'absence de consentement des employés (cf. art. 1 al. 3 de l'ordonnance relative à la loi fédérale sur la protection des données [OLPD; RS 235.11]). Elle ajoute que les circonstances d'espèce ne sont pas si particulières qu'elles nécessiteraient d'envisager une exception non prévue par le Conseil fédéral dans son ordonnance. Enfin, elle souligne que ni les intérêts de la banque, ni les intérêts de tiers ne justifient de refuser aux employés la remise d'une copie écrite, étant précisé que les documents remis aux autorités américaines ont déjà été réunis, triés et même caviardés (en ce qui concerne les clients), et que la banque a été autorisée, par le premier juge, à anonymiser tous les noms et autres données permettant d'identifier des tiers. Quant aux recommandations du PFPDT, elles ne lient pas les juridictions civiles.

4.
Sur le principe, la recourante reconnaît que les employés peuvent prendre connaissance du contenu des documents litigieux. Elle refuse toutefois de leur remettre ceux-ci sous forme écrite (copie des données).
La recourante reproche à la cour cantonale d'avoir violé l'art. 8 al. 5 LPD. Les circonstances d'espèce seraient telles qu'elles justifieraient une (nouvelle) exception au principe de la communication écrite. Elle invoque également une transgression de l'art. 9 al. 1 let. a et b LPD, ainsi que de l'art. 9 al. 4 LPD, son refus de fournir des copies écrites, dicté par la prise en compte d'intérêts de tiers et des siens propres, étant légitime.

Il convient, dans un premier temps, de définir si c'est de manière légitime que la banque a opposé son refus aux employés, soit de déterminer si elle pouvait se fonder sur une loi au sens formel pour restreindre l'accès aux données litigieuses (cf. art. 9 al. 1 let. a LPD), et d'établir si, comme le prétend la banque (maître du fichier), ses propres intérêts - ou ceux de tiers - (cf. art. 9 al. 1 let. b et al. 4 LPD) l'emportent sur ceux des employés (cf. infra consid. 5, 6 et 7).

Dans un deuxième temps, il conviendra d'examiner si la banque peut justifier son refus sur la base des circonstances exceptionnelles dont elle tente de démontrer l'existence par le biais de divers arguments soulevés sous l'angle de l'art. 8 al. 5 LPD (cf. infra consid. 8).

5.
La recourante reproche à la cour cantonale d'avoir violé l'art. 9 al. 1 let. a LPD. Selon elle, une base légale au sens formel interdisant à la banque de communiquer les renseignements demandés (subsidiairement prévoyant une restriction à cette communication) est contenue à l'art. 47 de la loi sur les banques (LB; RS 952), ainsi qu'à l'art. 162 CP.

5.1. L'art. 47 LB ne règle pas le secret bancaire en tant que tel, mais il prévoit la sanction (pénale) en cas de violation de ce secret (sur l'ensemble de la question: ATF 137 II 431 consid. 2.1.1 p. 437).

La doctrine majoritaire est d'avis que l'art. 47 LB fait en principe partie des bases légales formelles au sens de l'art. 9 al. 1 let. a LPD ( DAVID ROSENTHAL, in Handkommentar DSG, 2008, no 7 ad art. 9 LPD; PHILIPPE MEIER, Protection des données, 2011, n. 1139 p. 405 et les auteurs cités).

5.2. La communication aux ex-employés des informations sur les clients de la banque équivaut aujourd'hui à une remise à des tiers (et ce, même si, après la fin des relations contractuelles, ils sont encore soumis au secret bancaire), ce qui constitue en soi, dans la perspective de la banque, un comportement punissable au sens de l'art. 47 LB (ce qui est d'ailleurs également le cas pour la simple consultation, sur place, des données).

Il faut toutefois d'emblée relever dans ce contexte que le Conseil fédéral, dans sa décision du 4 avril 2012, a expressément interdit aux banques de livrer à l'étranger des informations sur les clients (" Kundendaten "). A cet égard, la cour cantonale constate que, lors de leur transmission aux autorités américaines, les documents ne contenaient pas d'informations permettant d'identifier les clients (arrêt entrepris consid. 4.3.2 p. 14). La banque a elle-même expressément admis avoir caviardé toutes les données permettant d'identifier ses clients dans les documents transmis aux autorités américaines afin de respecter la décision du Conseil fédéral. Dès lors, si les documents livrés par les banques à un Etat étranger ne contiennent pas de telles informations, on ne voit pas en quoi ces mêmes documents, communiqués aux employés, mettraient le secret bancaire en danger (cf. GABRIEL AUBERT, La communication aux autorités américaines, par des banques, de données personnelles sur leurs employés: aspects de droit du travail, RSDA 2013, p. 42).

5.3. La recourante considère que l'infraction (art. 47 LB) pourrait quand même être réalisée de par le fait que les employés ont pu prendre connaissance des documents intégraux et qu'ils seraient donc en mesure, en cas de remise écrite des données, d'identifier (en reconstituant de mémoire les éléments caviardés) les clients en cause.

Le raisonnement ne convainc pas. En réalité, ce n'est pas la remise écrite aux employés des documents litigieux qui leur permettrait d'identifier les clients en cause, puisqu'ils les connaissent déjà.

Dès lors, la banque ne saurait violer l'art. 47 LB pour la seule raison qu'elle serait amenée à remettre par écrit, dans le contexte ainsi décrit, des données caviardées.

En l'espèce, la recourante ne peut se prévaloir de l'art. 47 LB (en lien avec l'art. 9 al. 1 let. a LPD) pour refuser de remettre aux employés une copie des documents litigieux.

5.4. La recourante soutient que " l'argumentation valable pour l'art. 47 LB est transposable à l'art. 162 CP ". Selon elle, si les employés sont en possession de copies, ils pourraient alors identifier les noms des clients et d'autres informations couvertes par le secret commercial, au vu de leur activité passée au sein de l'établissement bancaire.
L'argument est sans consistance. L'infraction (art. 162 CP) peut uniquement être réalisée par la personne tenue au secret, soit celle qui a un devoir (légal ou contractuel) de garder le secret (cf. BERNARD CORBOZ, Les infractions en droit suisse, Vol. I, 3e éd. 2010, nos 3 et 9 s. ad art. 162 CP; STRATENWERTH/JENNY, Schweizerisches Strafrecht, Besonderer Teil I, 6e éd. 2003, no 6 ad § 22). Le maître du secret n'est pas visé par l'infraction et, partant, la banque ne saurait en l'espèce s'en prévaloir à titre de base formelle au sens de l'art. 9 al. 1 let. a LPD.

6.
La recourante invoque une transgression de l'art. 9 al. 1 let. b LPD.

6.1. Il résulte des constatations cantonales que la banque n'a pas fait valoir, devant l'autorité précédente, l'intérêt des tiers, pour fonder son opposition à la remise d'une copie des documents litigieux.

La cour cantonale présente toutefois une argumentation subsidiaire dans laquelle elle affirme qu'un tel moyen aurait dû être d'emblée rejeté.

6.2. En vertu de l'art. 9 al. 1 let. b LPD, le maître du fichier peut refuser ou restreindre la communication des renseignements demandés, voire en différer l'octroi, dans la mesure où les intérêts prépondérants d'un tiers l'exigent.

Ce motif peut (et doit) être invoqué par le maître du fichier lorsque les données sur lesquelles porte l'accès sont intimement liées aux données personnelles de tiers (Meier, op. cit., n. 1144 s. p. 406 s.; Bracher/Tavor, Das Auskunftsrecht nach DSG, RSJ 3/2013, p. 49).

En principe, si l'anonymisation des documents concernés suffit à protéger les tiers, le droit d'accès du titulaire des données (requérant sous l'angle de l'art. 8 LPD) ne devrait pas, sous peine d'une violation du principe de la proportionnalité (cf. art. 4 al. 2 LPD), faire l'objet d'une plus grande restriction (Belser/Epiney/Waldmann, Datenschutzrecht, 2011, no 53 ad § 11; Friedrich/Kaiser, Datenschutzrechtliches Auskunftsrecht und Arbeitspapiere einer Revisionstelle, L'expert-comptable suisse 8/13, p. 527 et les auteurs cités).

6.3. Selon les constatations cantonales, lors de leur transmission aux autorités américaines, les documents ne contenaient pas d'informations permettant d'identifier les clients. Il en ressort également que la banque a été autorisée par le premier juge à anonymiser les éléments permettant d'identifier ses (ex-) collaborateurs et les tiers. Il ne résulte pas des constatations cantonales que le caviardage ne permettrait pas de protéger suffisamment les tiers.

Ainsi, même à considérer l'argumentation subsidiaire de l'autorité précédente, on ne saurait reprocher à celle-ci d'avoir nié un intérêt prépondérant de tiers.

7.
La recourante reproche à la cour cantonale d'avoir appliqué de manière incorrecte l'art. 9 al. 4 LPD.

7.1. Elle commence par soutenir qu'on peut renoncer à procéder à une pesée d'intérêts sous cet angle en insistant sur le fait que les employés, à qui elle reconnaît le droit de consulter les informations les concernant sur place (données à l'écran), ne disposent en réalité d'aucun intérêt à obtenir une communication écrite.

7.1.1. Il faut rappeler ici qu'en soi le droit d'accès selon l'art. 8 LPD - donc la remise écrite d'information (cf. infra consid. 8.1) - peut être exercé sans la preuve d'un intérêt. Ce n'est que si le maître du fichier veut refuser ou restreindre l'accès qu'une pesée des intérêts aura lieu (à ce sujet cf. infra consid. 7.2). La prise en compte de l'intérêt du titulaire du droit d'accès joue également un rôle lorsqu'un abus de droit entre en considération (ATF 138 III 425 consid. 5.4 p. 4.3.2; 123 II 543 consid. 2e p. 538; cf. ARTER/DAHORTSANG, Bundesgericht, I. Zivilabteilung, Urteil vom 17. April 2012, PJA 2012, p. 1161).

L'existence d'un abus de droit (cf. art. 2 al. 2 CC) doit être reconnue lorsque l'exercice du droit par le titulaire ne répond à aucun intérêt digne de protection, qu'il est purement chicanier ou, lorsque, dans les circonstances dans lesquelles il est exercé, le droit est mis au service d'intérêts qui ne correspondent pas à ceux que la règle est destinée à protéger (cf. PAUL-HENRI STEINAUER, Le Titre préliminaire du Code civil, in TDPS, 2009, n. 570 p. 213 et n. 573 s. p. 214 s.; HAUSHEER/JAUN, Die Einleitungsartikel des ZGB, 2003, nos 125 s. ad art. 2 CC).

Cela est ainsi le cas, dans la perspective de l'art. 8 LPD, lorsque le droit d'accès est exercé dans un but étranger à la protection des données, par exemple lorsque le droit d'accès n'est utilisé que pour nuire au débiteur de ce droit (cf. arrêt 4A_36/2010 du 20 avril 2010 consid. 3.1). Il faudrait probablement aussi considérer comme contraire à son but et donc abusive l'utilisation du droit d'accès dans le but exclusif d'espionner une (future) partie adverse et de se procurer des preuves normalement inaccessibles (ATF 138 III 425 consid. 5.5 p. 432; KLEINER/SCHWOB/WINZELER, Kommentar zum Bundesgesetz über die Banken und Sparkassen, 22e éd. 2014, no 406 ad art. 47 LB et les auteurs cités). Ce serait ainsi le cas d'une requête qui ne constitue qu'un prétexte à une recherche indéterminée de moyens de preuve ( fishing expedition ) (en lien avec l'art. 8 LPD: Nicolas Passadelis, Datenschutzrechtliches Auskunftsrecht erlaubt keine Beweisausforschung, in Push-service Entscheide, publié le 4 mars 2013 n. 12; Friedrich/Kaiser, op. cit., p. 527).

La requête de l'employé visant à obtenir les données le concernant en vue d'une éventuelle action en dommages-intérêts contre le maître du fichier n'est par contre, en soi, pas abusive (ATF 138 III 425 consid. 5.6 p. 432; BRACHER/TAVOR, op. cit., p. 50 note de pied 60).

7.1.2. En l'espèce, les employés expliquent qu'ils tiennent à obtenir une copie de leurs données pour deux raisons: premièrement, afin de pouvoir juger d'une possible illicéité de traitement effectué par la recourante et formuler d'éventuelles futures prétentions civiles contre la banque. Deuxièmement, afin d'être en mesure d'anticiper de probables ennuis qui leur seront causés par le Department of Justice (DoJ) et de préparer leur défense sur la base des informations et données transmises et d'ores et déjà en mains de l'autorité pénale étrangère.

Il n'a par contre pas été constaté que les intimés souhaiteraient prospecter des preuves de manière répréhensible ou qu'ils exigeraient la remise de documents auxquels ils ne pourraient pas prétendre dans la procédure civile.

7.1.3. A la lumière des principes évoqués ci-dessus (cf. consid. 6.1.1), on ne saurait ainsi dire que la requête des employés, qui n'est pas chicanière, ni contraire au but qu'elle est censée poursuivre, est abusive. On peut au demeurant observer qu'il serait en l'espèce paradoxal de considérer leur requête comme un prétexte à une recherche indéterminée de moyens de preuve ( fishing expedition ), les employés ayant en effet déjà pris connaissance du contenu des documents visés, aussi bien à travers leur ancienne activité que par le biais des consultations entreprises - les 14 juin et 10 juillet 2012 pour l'employé et le 24 juillet 2012 pour l'employée - dans les locaux de la banque.

7.1.4. Quant à la forme de l'accès aux données, les employés ont un intérêt évident à obtenir une copie des informations en cause. Premièrement, l'obtention d'une copie leur permettra de consulter leurs données où ils veulent et quand ils veulent, et d'avoir, en tout temps, la possibilité de comparer les documents litigieux avec d'autres informations éventuellement en leur possession (cf. Alexander Dubach, Das Recht auf Akteneinsicht, 1990, p. 351). Force est également de constater, deuxièmement, qu'à défaut de pouvoir présenter une copie des informations en cause dans l'hypothèse d'une procédure contre la banque, les employés se heurteraient rapidement à la difficulté de fournir la preuve de leurs allégués (sur le constat: Aubert, op. cit., p. 42; Ceregato/Müller, Das datenschutzrechtliche Auskunftsrecht: (k) ein Mittel zur Beweisausforschung, in Jusletter 20 août 2012 ch. IV; cf. Gilles Monnier, Le droit d'accès aux données personnelles traitées par un média, 1999, p. 188). Troisièmement, les employés ont un intérêt à bénéficier de tous les instruments leur permettant d'évaluer les risques d'être inquiétés par les autorités américaines, le cas échéant de se défendre; les copies des informations étant en possession de l'autorité
pénale étrangère, l'intérêt des employés à disposer également d'une copie des mêmes documents (même s'ils en ont déjà connaissance) est indéniable.

La requête visant la remise écrite des documents litigieux permet de procurer aux employés l'avantage qu'ils en attendent et, partant, elle ne peut être qualifiée d'abusive.

7.2. Quant à la pesée d'intérêts évoquée par la recourante dans le même contexte, elle doit maintenant être examinée sous l'angle de l'art. 9 al. 4 LPD.

En vertu de cette disposition légale, un maître de fichier privé peut refuser ou restreindre la communication des renseignements demandés ou en différer l'octroi, dans la mesure où ses intérêts prépondérants l'exigent et à condition qu'il ne communique pas les données personnelles à un tiers.

Il faut donc procéder à une pesée des intérêts, le débiteur du droit d'accès devant invoquer les siens en premier. Il faut ensuite examiner leur bien-fondé et les opposer aux intérêts du demandeur d'accès. L'accès ne peut être refusé, restreint ou différé que lorsque les premiers l'emportent sur les deuxièmes (ATF 138 III 425 consid. 6.1 p. 433; BRACHER/TAVOR, op. cit., p. 49).

La preuve de l'existence d'un intérêt prépondérant à restreindre le droit d'accès incombe au maître du fichier ( GRAMIGNA/MAURER-LAMBROU, in Basler Kommentar, 3e éd. 2014, no 8 ad art. 9 LPD; ROSENTHAL, op. cit., no 4 ad art. 9 LPD; CEREGATO/MÜLLER, op. cit., ch. II/2.2.1).

7.3. La recourante invoque son intérêt fondé, d'une part, sur la nature sensible des documents et, d'autre part, sur les règles de sécurité auxquelles elle soumet son personnel. Elle insiste sur le fait que la remise de documents écrits entraînerait la perte de maîtrise par la banque et la mise en circulation potentielle - notamment par le biais de fax, photocopies et scans - de centaines de documents d'importance stratégique pour elle. Dans ce contexte, la recourante rappelle également sa réglementation interne qui interdit aux employés d'emporter chez eux des documents confidentiels.

7.4.

7.4.1. S'agissant de l'intérêt sur la base duquel la banque tente de restreindre le droit d'accès dont les employés sont titulaires, il a été rappelé ci-dessus que les documents ne contenaient pas d'informations permettant d'identifier les clients (cf. supra consid. 5.2), de sorte qu'on ne voit pas en quoi la banque pourrait avoir un intérêt à restreindre le droit d'accès aux documents litigieux pour un motif lié au secret bancaire.

Certes, on ne peut écarter le risque qu'un employé communique les copies à un tiers intéressé en révélant de mémoire le nom d'un client pourtant caviardé sur les documents litigieux. A cet égard, la banque n'allègue toutefois ni ne donne le moindre indice qui permettrait de comprendre que les deux employés (intimés) auraient l'intention de divulguer ces documents en dehors d'une procédure judiciaire. Quant à l'existence d'un risque potentiel, celui-ci est relativisé par l'engagement contractuel des (ex-) employés; il n'est en effet pas contesté que ceux-ci sont, de par leur contrat de travail, encore assujettis au secret bancaire et aux peines sanctionnant sa violation (art. 47 al. 4 LB).

7.4.2. Au sujet des documents d'importance stratégique évoqués par la banque, on peut là aussi souligner que les employés en ont déjà pris connaissance, aussi bien au cours de leur ancienne activité professionnelle que par le biais de leur consultation sur place, et que les éventuelles informations confidentielles de la banque qui y sont contenues leur sont déjà connues. Ainsi, le risque potentiel d'une divulgation (évoqué par la banque) n'est, en soi, pas lié à la remise d'une copie des documents litigieux. Ce risque découle déjà d'une prise de connaissance préalable du contenu des documents litigieux par les employés.

Certes, on peut admettre que le risque s'accroît dans une certaine mesure si les employés disposent de documents qui permettent de prouver les informations déjà en leur possession. A cet égard, la banque se limite toutefois à évoquer la nature sensible des documents " sur le plan organisationnel, commercial ou opérationnel ", sans fournir un seul élément concret (exemples de documents effectivement transmis aux autorités américaines) permettant de comprendre en quoi ces documents sont d'une importance stratégique pour elle et de démontrer son intérêt à restreindre en l'espèce le droit d'accès des employés (sur le lien avec le cas concret, cf. encore infra consid. 8.2).

Au demeurant, le risque potentiel évoqué par la banque est, ici aussi, en grande partie relativisé par l'engagement contractuel des (ex-) employés; ceux-ci sont, de par leur contrat de travail, soumis aux secrets de fabrication et d'affaires (art. 321a al. 4 CO) et ils restent soumis à ces secrets même après la fin des rapports de travail, à tout le moins " tant que l'exige la sauvegarde des intérêts légitimes de l'employeur " (art. 321a al. 4 in fine CO).

7.5. Quant à l'intérêt des employés à avoir en leur possession une copie des documents transmis aux autorités américaines, il a déjà été reconnu plus haut (cf. supra consid. 7.1.4). Il en résulte qu'à défaut d'obtenir une copie, les employés risquent de se heurter à des difficultés importantes (et concrètes) sous plusieurs aspects (cf. supra consid. 7.1.4).

Cela étant, l'existence d'un " simple " risque potentiel (par ailleurs limité), tel qu'évoqué par la banque, ne saurait en l'occurrence démontrer que son intérêt à restreindre le droit d'accès des employés l'emporte sur l'intérêt de ceux-ci à obtenir une remise écrite des données litigieuses.

7.6. C'est en vain que la banque insiste sur le contenu de sa réglementation interne pour infléchir la pesée d'intérêts dans un sens qui lui est favorable.

7.6.1. On peut comprendre, sur la base de cette réglementation interne, l'importance (générale) pour la banque de garantir la confidentialité des documents sensibles. A nouveau, celle-ci ne désigne toutefois aucun élément concret qui permettrait de saisir quels types de documents entrant dans cette définition ont été livrés aux autorités américaines, afin de déterminer leur impact sur la pesée des intérêts entreprise plus haut.

7.6.2. L'argumentation de la banque relative à la réglementation interne semble également suggérer que les employés auraient renoncé contractuellement à faire valoir leur droit d'accès (art. 8 LPD), à tout le moins à la possibilité de recevoir une copie des documents litigieux.

Une renonciation par avance au droit d'accès est explicitement contraire à l'art. 8 al. 6 LPD et elle doit être considérée comme nulle (cf. art. 20 al. 1 CO; GRAMIGNA/MAURER-LAMBROU, op. cit., no 60 ad art. 8 LPD; MEIER, op. cit., n. 973 p. 364; BELSER/EPINEY/WALDMANN, op. cit., no 42 ad § 11). La même conclusion s'impose lorsque la clause contractuelle liant les parties ne vise pas la renonciation (pure et simple), mais une restriction du droit d'accès ( GRAMIGNA/MAURER-LAMBROU, op. cit., no 60 ad art. 8 LPD; cf. ROSENTHAL, op. cit., no 27 ad art. 8 LPD).

Une renonciation (non anticipée) ne peut être envisagée que si la personne concernée connaît déjà l'essentiel de l'information à laquelle elle pourrait avoir accès (pour les détails: GRAMIGNA/MAURER-LAMBROU, op. cit., no 61 ad art. 8 LPD; Meier, op. cit., n. 974 p. 364).

7.6.3. A la lumière des considérations qui précèdent, on ne peut admettre qu'en concluant le contrat de travail, les employés ont par avance consenti à ne pas faire valoir, vis-à-vis de leur employeur, leur droit d'accès au sens de l'art. 8 LPD. Pour la même raison, les employés ne sauraient avoir acquiescé à une restriction de leur droit d'accès, soit avoir accepté qu'aucun document écrit contenant leurs données personnelles ne leur soit remis (dans ce sens: AUBERT, op. cit., p. 43).

Il a en outre été établi que, lorsque les employés ont accepté (par la conclusion du contrat de travail) de se soumettre à la réglementation interne, ils ignoraient que la banque communiquerait aux autorités américaines leurs données personnelles en lien avec les activités transfrontalières qu'ils ont exercées pour le compte de celle-ci. La banque ne les a jamais informés de cette communication. Ils ne connaissaient donc pas l'essentiel de l'information objet de leur droit d'accès, de sorte qu'on ne saurait reconnaître que, depuis la conclusion du contrat de travail, ils auraient pu renoncer à se prévaloir de leur droit à une communication écrite.

7.7. Enfin, c'est en vain que la recourante tente de se prévaloir de la décision du 25 avril 2013 de la Cour des plaintes du Tribunal pénal fédéral (BB.2112.133 consid. 2.2.1) qui mentionne, selon ses propres explications, qu'aucun élément probant ne permet de prouver que l'ex-employé (alors objet de la procédure fédérale) serait contraint de rester en Suisse de peur de se faire interroger, arrêter et/ou extrader aux Etats-Unis et que rien au dossier n'amène à conclure que les employés de A.________ font l'objet d'une poursuite aux Etats-Unis.

En l'espèce, l'intérêt des employés à obtenir une copie des données litigieuses ne se limite pas à pouvoir évaluer la situation sur le seul territoire des Etats-Unis, le cas échéant, à se défendre dans ce contexte (cf. supra consid. 7.1.4).

Quoi qu'il en soit, les constatations - faites sous l'angle bien précis des éventuelles conséquences d'une violation de l'art. 271 CP - du Tribunal pénal fédéral, qui n'est pas l'" autorité précédente " dans la présente procédure (cf. art. 105 al. 1 LTF), ne lient pas le Tribunal fédéral. En l'espèce, il résulte des constatations de la Cour de justice que la procédure américaine ouverte contre la banque n'est pas terminée et que l'issue est encore incertaine pour les deux employés. Il n'importe à cet égard qu'il n'existe encore aucune procédure à leur encontre. Le droit d'accès aux données personnelles a précisément pour but de leur permettre d'évaluer eux-mêmes une telle éventualité et, si nécessaire, de se défendre. A cet égard, la remise d'une copie des données litigieuses est nécessaire, ne serait-ce que pour permettre aux employés de prendre connaissance en tout temps du contenu des documents qui sont déjà en possession des autorités américaines (cf. supra consid. 7.1.4).

7.8. Puisque la condition d'un intérêt prépondérant de la banque n'a pas été démontrée par celle-ci, il importe peu de savoir si la deuxième condition posée par l'art. 9 al. 4 LPD, à savoir que le maître du fichier ne communique pas les données personnelles à un tiers, est également remplie (cf. ATF 138 III 425 consid. 6.6 p. 436).

Il n'est donc pas nécessaire d'entrer en matière sur le grief, soulevé par la recourante dans ce contexte, d'un établissement manifestement inexact, par l'autorité précédente, des faits qui, selon la banque, révèlent l'obligation qui était la sienne de communiquer ses données aux autorités américaines.

8.
La recourante reproche également à la cour cantonale d'avoir violé l'art. 8 al. 5 LPD. Elle estime qu'en l'espèce les circonstances sont telles qu'elles justifient une exception au principe de la communication écrite (en dehors de l'exception prévue par le Conseil fédéral). Elle fournit divers arguments visant à convaincre de l'existence de telles circonstances (cf. infra consid. 8.2 à 8.6).

8.1. En vertu de l'art. 8 al. 5 LPD, " les renseignements sont, en règle générale, fournis gratuitement et par écrit, sous forme d'imprimé ou de photocopie. Le Conseil fédéral règle les exceptions ".

Se fondant sur cette délégation législative (reprise à l'art. 36 al. 1 LPD), le Conseil fédéral a prévu, à l'art. 1 al. 3 OLPD, que, " d'entente avec le maître du fichier ou sur proposition de celui-ci, la personne concernée peut également consulter ses données sur place. Si elle y a consenti et qu'elle a été identifiée, les renseignements peuvent également lui être fournis oralement ".

Il ressort clairement des dispositions précitées que, pour le législateur, la communication écrite des données constitue la règle (sur le constat cf. aussi: URS BELSER, Das Recht auf Auskunft, die Transparenz der Datenbearbeitung und das Auskunftsverfahren, in Das Neue Datenschutzgesetz des Bundes, 1993, p. 60). La seule exception explicite figure à l'art. 1 al. 3 de l'ordonnance; selon cette disposition une consultation sur place - voire une communication orale - des pièces du dossier ne peut remplacer une communication écrite que dans le cas où la personne intéressée est d'accord avec ce mode de faire (ATF 125 II 321 consid. 3b p. 323; 123 II 534 consid. 3c p. 540 s.; MEIER, op. cit., n. 1076 s. p. 391 et les références; ROSENTHAL, op. cit., no 23 ad art. 8 LPD).

Dans ce contexte, le Tribunal fédéral a déjà eu l'occasion d'expliquer que l'inconvénient résultant de la communication systématique des dossiers aux personnes qui le demandent (soit en particulier le surcroît de travail) est propre à tous les détenteurs de fichiers. Il a d'ailleurs été pris en compte par le législateur, qui n'a pas voulu en faire une cause de refus de la communication écrite, mais qui a préféré prévoir des exceptions à la gratuité de celle-ci (art. 8 al. 5 LPD, art. 2 OLPD; cf. ATF 125 II 321 consid. 3b p. 324).

La jurisprudence a jusqu'ici laissé indécise la question de savoir si, en plus du cas de figure envisagé par le Conseil fédéral (cf. art. 1 al. 3 OLPD), d'autres exceptions au principe de la communication écrite peuvent être envisagées, en dehors des cas prévus par l'ordonnance (cf. ATF 125 II 321 consid. 3b p. 323 s.; cf. BELSER/EPINEY/WALDMANN, op. cit., no 35 ad § 11). Cette question peut également rester ouverte en l'espèce, la recourante ne faisant valoir aucune circonstance concrète s'opposant à l'envoi d'une copie du dossier (cf. infra consid. 8.2 à 8.6).

8.2. L'argumentation générale fournie, dans un premier temps, par la recourante tombe à faux. En effet, il ne s'agit pas d'étendre la réflexion, de manière globale, à l'ensemble des employés de tous les établissements bancaires qui, potentiellement, pourraient exiger de leur employeur respectif la remise écrite d'informations les concernant; il s'agit ici de déterminer si, dans le cas concret, un refus par la banque d'une remise écrite des documents aux deux employés se justifie ou non.

D'autre part, l'argument tiré des inconvénients qui résulteraient du caviardage de l'ensemble des informations visées ne peut être suivi puisque l'arrêt cantonal constate que les données, qui sont actuellement contenues sur un support électronique, ont déjà été réunies, triées et même caviardées (données visant les clients de la banque) avant leur transmission aux autorités américaines; on voit donc mal comment ces informations pourraient mettre le secret bancaire en danger et leur remise écrite aux employés représenter une difficulté disproportionnée d'ordre pratique.

La difficulté qui peut être générée par le surcroît de travail n'est, à la lumière des principes rappelés ci-dessus, quoi qu'il en soit pas déterminante.

8.3. La recourante insiste ensuite sur le fait qu'il convient d'accorder une crédibilité accrue aux recommandations du PFPDT, lesquelles ont cautionné, en ce qui concerne l'accès aux données déjà transmises aux autorités américaines, la forme de la consultation des documents sur place, ceci compte tenu de leur sensibilité, des règles de sécurité de la banque, ainsi que du secret bancaire et des règles internes interdisant aux employés d'emporter des documents chez eux.

Or, le PFPDT, qui s'adresse au maître du fichier (cf. art. 3 let. i LPD), agit dans un cadre qui excède celui d'une pure contestation entre deux parties (ATF138 II 346 consid. 10.1 p. 363; 136 II 508 consid. 6.3.2 p. 523). Les recommandations qu'il émet, qui n'ont pas été déclarées contraignantes par le Tribunal administratif fédéral, n'ont pas force de chose jugée (Meier, op. cit., n. 1925 p. 618 s.). Elles sont toutefois prises en compte dans le cadre de la pesée des intérêts (sous l'angle de l'art. 13 LPD: cf. ATF 138 II 346 consid. 10.1 p. 363).

La Cour de céans a tenu compte des intérêts de la banque (maître du fichier) mis en évidence par le PFPDT (notamment la sensibilité des documents bancaires, les règles de sécurité de la banque), mais elle a considéré, dans la pesée globale des intérêts entreprise sous l'angle de l'art. 9 LPD, que la banque n'a en l'espèce pas apporté la preuve d'un intérêt prépondérant à restreindre le droit d'accès dont les employés sont titulaires (cf. supra consid. 7).

8.4. A l'appui de sa thèse, la recourante tente également de tirer argument d'une application par analogie du droit allemand. Elle relève que le paragraphe 34 al. 6 BDSG prévoit explicitement de déroger à la forme écrite lorsque les circonstances du cas d'espèce font qu'une autre forme apparaît comme plus appropriée.

Cet argument ne lui est toutefois d'aucune aide. Au contraire, les commentateurs allemands expliquent qu'il s'agit de prendre en compte les circonstances du cas d'espèce dans la seule perspective de la personne concernée par les données. S'il apparaît que celle-ci (et non le maître du ficher) aura un accès plus rapide aux données sous une autre forme, elle peut renoncer, si elle l'estime opportun, à la remise de l'information sous forme écrite (Alexander Dix, in Bundesdatenschutzgesetz, Simitis (éd.), 7e éd. 2011, nos 52 s. ad § 34 BDSG; Schomerus/Gola/Klug/Körffer, Bundesdatenschutzgesetz Kommentar, 11e éd. 2012, nos 13 s. ad § 34 BDSG).

8.5. S'agissant de la clause générale de police évoquée par la recourante, elle consiste en un droit qui appartient à l'Etat (ATF 137 II 431 consid. 3.3 p. 444 s.; 103 Ia 310 consid. 3a p. 311 s.). La banque, en tant que personne morale de droit privé, ne saurait donc en tirer un quelconque argument pour défendre sa thèse.

Il est par ailleurs établi que l'autorisation du Conseil fédéral du 4 avril 2012, tout comme celle octroyée à d'autres banques à partir du 3 juillet 2013, n'a pas exempté les établissements concernés d'une éventuelle responsabilité civile ni, de manière plus générale, de leurs obligations à l'égard de leurs (ex-) employés. Cette autorisation visait uniquement à exempter les banques de tout reproche sous l'angle de l'art. 271 CP (actes exécutés sans droit pour un Etat étranger) et elle était donc moins étendue que celle accordée dans l'affaire D.________ (cf. ATF 137 II 431 consid. 4 p. 445 ss).

8.6. La recourante estime enfin qu'une remise écrite des données se heurte au contenu de l'art. 339a al. 1 CO qui prévoit qu'au moment où le contrat prend fin, les parties se rendent tout ce qu'elles se sont remis pour la durée du contrat, de même que tout ce que l'une d'elles pourrait avoir reçu de tiers pour le compte de l'autre. Selon elle, cette disposition de droit impératif serait vidée de sa substance s'il suffisait à un ancien employé d'entreprendre une action sur la base de la LPD pour récupérer toutes les données le concernant en possession de son employeur, ce d'autant plus sous l'angle de la réglementation idoine faisant partie intégrante des contrats de travail liant la banque à ses employés.

L'argument est sans consistance.

L'art. 339a al. 1 CO vise certes également les copies de documents en possession de l'employé (cf. arrêt 4A_611/2011 du 3 janvier 2012 consid. 4.3 publié in JdT 2012 II 208), mais il poursuit un objectif totalement différent et distinct de celui auquel tend l'art. 8 LPD. Il vise une prétention de l'employeur à l'issue des relations contractuelles (ayant notamment pour objet la restitution des documents en mains de l'employé), alors que l'art. 8 LPD accorde à la personne concernée (en l'occurrence deux ex-employés) un droit d'accès aux données personnelles, institution centrale du droit de la protection des données (sur la fonction particulière du droit d'accès: OLIVER SCHNYDER, Das datenschutzrechtliche Auskunftsrecht, 2002, p. 89 s.).

Le moyen tiré de la violation de l'art. 8 al. 5 LPD est infondé.

9.
Il résulte des considérations qui précèdent que les recours en matière civile doivent être rejetés.

Les frais judiciaires et les dépens sont mis à la charge de la recourante, qui succombe (art. 66 al. 1 et 68 al. 1 et 2 LTF).

Par ces motifs, le Tribunal fédéral prononce :

1.
Les recours 4A_406/2014 et 4A_408/2014 sont joints.

2.
Les deux recours sont rejetés.

3.
Les frais judiciaires, arrêtés à 14'000 fr. au total, sont mis à la charge de la recourante.

4.
La recourante versera à chacun des intimés une indemnité de 8'000 fr. à titre de dépens.

5.
Le présent arrêt est communiqué aux parties et à la Cour de justice du canton de Genève, Chambre civile.

Lausanne, le 12 janvier 2015

Au nom de la Ire Cour de droit civil
du Tribunal fédéral suisse

La Présidente : Kiss

Le Greffier : Piaget

SR 311.0 Schweizerisches Strafgesetzbuch vom 21. Dezember 1937 StGB Art. 271 - 1. Wer auf schweizerischem Gebiet ohne Bewilligung für einen fremden Staat Handlungen vornimmt, die einer Behörde oder einem Beamten zukommen,
¹	Wer auf schweizerischem Gebiet ohne Bewilligung für einen fremden Staat Handlungen vornimmt, die einer Behörde oder einem Beamten zukommen,
²	Wer jemanden durch Gewalt, List oder Drohung ins Ausland entführt, um ihn einer fremden Behörde, Partei oder anderen Organisation zu überliefern oder einer Gefahr für Leib und Leben auszusetzen, wird mit Freiheitsstrafe nicht unter einem Jahr bestraft.
³	Wer eine solche Entführung vorbereitet, wird mit Freiheitsstrafe oder Geldstrafe bestraft.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 29 Einschränkungen des Rechts auf Datenherausgabe oder -übertragung - 1 Der Verantwortliche kann die Herausgabe oder Übertragung der Personendaten aus den in Artikel 26 Absätze 1 und 2 aufgeführten Gründen verweigern, einschränken oder aufschieben.
¹	Der Verantwortliche kann die Herausgabe oder Übertragung der Personendaten aus den in Artikel 26 Absätze 1 und 2 aufgeführten Gründen verweigern, einschränken oder aufschieben.
²	Der Verantwortliche muss angeben, weshalb er die Herausgabe oder Übertragung verweigert, einschränkt oder aufschiebt.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 8 Datensicherheit - 1 Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit.
¹	Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit.
²	Die Massnahmen müssen es ermöglichen, Verletzungen der Datensicherheit zu vermeiden.
³	Der Bundesrat erlässt Bestimmungen über die Mindestanforderungen an die Datensicherheit.

SR 311.0 Schweizerisches Strafgesetzbuch vom 21. Dezember 1937 StGB Art. 271 - 1. Wer auf schweizerischem Gebiet ohne Bewilligung für einen fremden Staat Handlungen vornimmt, die einer Behörde oder einem Beamten zukommen,
¹	Wer auf schweizerischem Gebiet ohne Bewilligung für einen fremden Staat Handlungen vornimmt, die einer Behörde oder einem Beamten zukommen,
²	Wer jemanden durch Gewalt, List oder Drohung ins Ausland entführt, um ihn einer fremden Behörde, Partei oder anderen Organisation zu überliefern oder einer Gefahr für Leib und Leben auszusetzen, wird mit Freiheitsstrafe nicht unter einem Jahr bestraft.
³	Wer eine solche Entführung vorbereitet, wird mit Freiheitsstrafe oder Geldstrafe bestraft.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 8 Datensicherheit - 1 Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit.
¹	Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit.
²	Die Massnahmen müssen es ermöglichen, Verletzungen der Datensicherheit zu vermeiden.
³	Der Bundesrat erlässt Bestimmungen über die Mindestanforderungen an die Datensicherheit.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 9 Bearbeitung durch Auftragsbearbeiter - 1 Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn:
¹	Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn:
^a	die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte; und
^b	keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet.
²	Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten.
³	Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen.
⁴	Er kann dieselben Rechtfertigungsgründe geltend machen wie der Verantwortliche.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 72 Grundsatz - 1 Das Bundesgericht beurteilt Beschwerden gegen Entscheide in Zivilsachen.
¹	Das Bundesgericht beurteilt Beschwerden gegen Entscheide in Zivilsachen.
²	Der Beschwerde in Zivilsachen unterliegen auch:
^a	Entscheide in Schuldbetreibungs- und Konkurssachen;
^b	öffentlich-rechtliche Entscheide, die in unmittelbarem Zusammenhang mit Zivilrecht stehen, insbesondere Entscheide:
^b1	über die Anerkennung und Vollstreckung von Entscheiden und über die Rechtshilfe in Zivilsachen,
^b2	über die Führung des Grundbuchs, des Zivilstands- und des Handelsregisters sowie der Register für Marken, Muster und Modelle, Erfindungspatente, Pflanzensorten und Topografien,
^b3	über die Bewilligung zur Namensänderung,
^b4	auf dem Gebiet der Aufsicht über die Stiftungen mit Ausnahme der Vorsorge- und Freizügigkeitseinrichtungen,
^b5	auf dem Gebiet der Aufsicht über die Willensvollstrecker und -vollstreckerinnen und andere erbrechtliche Vertreter und Vertreterinnen,
^b6	auf dem Gebiet des Kindes- und Erwachsenenschutzes,
^b7	...

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 74 Streitwertgrenze - 1 In vermögensrechtlichen Angelegenheiten ist die Beschwerde nur zulässig, wenn der Streitwert mindestens beträgt:
¹	In vermögensrechtlichen Angelegenheiten ist die Beschwerde nur zulässig, wenn der Streitwert mindestens beträgt:
^a	15 000 Franken in arbeits- und mietrechtlichen Fällen;
^b	30 000 Franken in allen übrigen Fällen.
²	Erreicht der Streitwert den massgebenden Betrag nach Absatz 1 nicht, so ist die Beschwerde dennoch zulässig:
^a	wenn sich eine Rechtsfrage von grundsätzlicher Bedeutung stellt;
^b	wenn ein Bundesgesetz eine einzige kantonale Instanz vorsieht;
^c	gegen Entscheide der kantonalen Aufsichtsbehörden in Schuldbetreibungs- und Konkurssachen;
^d	gegen Entscheide des Konkurs- und Nachlassrichters oder der Konkurs- und Nachlassrichterin;
^e	gegen Entscheide des Bundespatentgerichts.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 76 Beschwerderecht - 1 Zur Beschwerde in Zivilsachen ist berechtigt, wer:
¹	Zur Beschwerde in Zivilsachen ist berechtigt, wer:
^a	vor der Vorinstanz am Verfahren teilgenommen hat oder keine Möglichkeit zur Teilnahme erhalten hat; und
^b	durch den angefochtenen Entscheid besonders berührt ist und ein schutzwürdiges Interesse an dessen Aufhebung oder Änderung hat.
²	Gegen Entscheide nach Artikel 72 Absatz 2 steht das Beschwerderecht auch der Bundeskanzlei, den Departementen des Bundes oder, soweit das Bundesrecht es vorsieht, den ihnen unterstellten Dienststellen zu, wenn der angefochtene Entscheid die Bundesgesetzgebung in ihrem Aufgabenbereich verletzen kann.40

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 75 Vorinstanzen - 1 Die Beschwerde ist zulässig gegen Entscheide letzter kantonaler Instanzen, des Bundesverwaltungsgerichts und des Bundespatentgerichts.36
¹	Die Beschwerde ist zulässig gegen Entscheide letzter kantonaler Instanzen, des Bundesverwaltungsgerichts und des Bundespatentgerichts.36
²	Die Kantone setzen als letzte kantonale Instanzen obere Gerichte ein. Diese entscheiden als Rechtsmittelinstanzen; ausgenommen sind die Fälle, in denen:
^a	ein Bundesgesetz eine einzige kantonale Instanz vorsieht;
^b	ein Fachgericht für handelsrechtliche Streitigkeiten als einzige kantonale Instanz entscheidet;
^c	eine Klage mit einem Streitwert von mindestens 100 000 Franken mit Zustimmung aller Parteien direkt beim oberen Gericht eingereicht wurde.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 45 Ende - 1 Ist der letzte Tag der Frist ein Samstag, ein Sonntag oder ein vom Bundesrecht oder vom kantonalen Recht anerkannter Feiertag, so endet sie am nächstfolgenden Werktag.
¹	Ist der letzte Tag der Frist ein Samstag, ein Sonntag oder ein vom Bundesrecht oder vom kantonalen Recht anerkannter Feiertag, so endet sie am nächstfolgenden Werktag.
²	Massgebend ist das Recht des Kantons, in dem die Partei oder ihr Vertreter beziehungsweise ihre Vertreterin den Wohnsitz oder den Sitz hat.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 48 Einhaltung - 1 Eingaben müssen spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben werden.
¹	Eingaben müssen spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben werden.
²	Im Falle der elektronischen Einreichung ist für die Wahrung einer Frist der Zeitpunkt massgebend, in dem die Quittung ausgestellt wird, die bestätigt, dass alle Schritte abgeschlossen sind, die auf der Seite der Partei für die Übermittlung notwendig sind.19
³	Die Frist gilt auch als gewahrt, wenn die Eingabe rechtzeitig bei der Vorinstanz oder bei einer unzuständigen eidgenössischen oder kantonalen Behörde eingereicht worden ist. Die Eingabe ist unverzüglich dem Bundesgericht zu übermitteln.
⁴	Die Frist für die Zahlung eines Vorschusses oder für eine Sicherstellung ist gewahrt, wenn der Betrag rechtzeitig zu Gunsten des Bundesgerichts der Schweizerischen Post übergeben oder einem Post- oder Bankkonto in der Schweiz belastet worden ist.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 100 Beschwerde gegen Entscheide - 1 Die Beschwerde gegen einen Entscheid ist innert 30 Tagen nach der Eröffnung der vollständigen Ausfertigung beim Bundesgericht einzureichen.
¹	Die Beschwerde gegen einen Entscheid ist innert 30 Tagen nach der Eröffnung der vollständigen Ausfertigung beim Bundesgericht einzureichen.
²	Die Beschwerdefrist beträgt zehn Tage:
^a	bei Entscheiden der kantonalen Aufsichtsbehörden in Schuldbetreibungs- und Konkurssachen;
^b	bei Entscheiden auf den Gebieten der internationalen Rechtshilfe in Strafsachen und der internationalen Amtshilfe in Steuersachen;
^c	bei Entscheiden über die Rückgabe eines Kindes nach dem Europäischen Übereinkommen vom 20. Mai 198089 über die Anerkennung und Vollstreckung von Entscheidungen über das Sorgerecht für Kinder und die Wiederherstellung des Sorgerechts oder nach dem Übereinkommen vom 25. Oktober 198090 über die zivilrechtlichen Aspekte internationaler Kindesentführung;
^d	bei Entscheiden des Bundespatentgerichts über die Erteilung einer Lizenz nach Artikel 40d des Patentgesetzes vom 25. Juni 195492.
³	Die Beschwerdefrist beträgt fünf Tage:
^a	bei Entscheiden der kantonalen Aufsichtsbehörden in Schuldbetreibungs- und Konkurssachen im Rahmen der Wechselbetreibung;
^b	bei Entscheiden der Kantonsregierungen über Beschwerden gegen eidgenössische Abstimmungen.
⁴	Bei Entscheiden der Kantonsregierungen über Beschwerden gegen die Nationalratswahlen beträgt die Beschwerdefrist drei Tage.
⁵	Bei Beschwerden wegen interkantonaler Kompetenzkonflikte beginnt die Beschwerdefrist spätestens dann zu laufen, wenn in beiden Kantonen Entscheide getroffen worden sind, gegen welche beim Bundesgericht Beschwerde geführt werden kann.
⁶	...93
⁷	Gegen das unrechtmässige Verweigern oder Verzögern eines Entscheids kann jederzeit Beschwerde geführt werden.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 42 Rechtsschriften - 1 Rechtsschriften sind in einer Amtssprache abzufassen und haben die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten.
¹	Rechtsschriften sind in einer Amtssprache abzufassen und haben die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten.
²	In der Begründung ist in gedrängter Form darzulegen, inwiefern der angefochtene Akt Recht verletzt. Ist eine Beschwerde nur unter der Voraussetzung zulässig, dass sich eine Rechtsfrage von grundsätzlicher Bedeutung stellt oder aus anderen Gründen ein besonders bedeutender Fall vorliegt, so ist auszuführen, warum die jeweilige Voraussetzung erfüllt ist. 14 15
³	Die Urkunden, auf die sich die Partei als Beweismittel beruft, sind beizulegen, soweit die Partei sie in Händen hat; richtet sich die Rechtsschrift gegen einen Entscheid, so ist auch dieser beizulegen.
⁴	Bei elektronischer Einreichung muss die Rechtsschrift von der Partei oder ihrem Vertreter beziehungsweise ihrer Vertreterin mit einer qualifizierten elektronischen Signatur gemäss Bundesgesetz vom 18. März 201616 über die elektronische Signatur versehen werden. Das Bundesgericht bestimmt in einem Reglement:
^a	das Format der Rechtsschrift und ihrer Beilagen;
^b	die Art und Weise der Übermittlung;
^c	die Voraussetzungen, unter denen bei technischen Problemen die Nachreichung von Dokumenten auf Papier verlangt werden kann.17
⁵	Fehlen die Unterschrift der Partei oder ihrer Vertretung, deren Vollmacht oder die vorgeschriebenen Beilagen oder ist die Vertretung nicht zugelassen, so wird eine angemessene Frist zur Behebung des Mangels angesetzt mit der Androhung, dass die Rechtsschrift sonst unbeachtet bleibt.
⁶	Unleserliche, ungebührliche, unverständliche, übermässig weitschweifige oder nicht in einer Amtssprache verfasste Rechtsschriften können in gleicher Weise zur Änderung zurückgewiesen werden.
⁷	Rechtsschriften, die auf querulatorischer oder rechtsmissbräuchlicher Prozessführung beruhen, sind unzulässig.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 95 Schweizerisches Recht - Mit der Beschwerde kann die Verletzung gerügt werden von:
^a	Bundesrecht;
^b	Völkerrecht;
^c	kantonalen verfassungsmässigen Rechten;
^d	kantonalen Bestimmungen über die politische Stimmberechtigung der Bürger und Bürgerinnen und über Volkswahlen und -abstimmungen;
^e	interkantonalem Recht.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 96 Ausländisches Recht - Mit der Beschwerde kann gerügt werden:
^a	ausländisches Recht sei nicht angewendet worden, wie es das schweizerische internationale Privatrecht vorschreibt;
^b	das nach dem schweizerischen internationalen Privatrecht massgebende ausländische Recht sei nicht richtig angewendet worden, sofern der Entscheid keine vermögensrechtliche Sache betrifft.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 105 Massgebender Sachverhalt - 1 Das Bundesgericht legt seinem Urteil den Sachverhalt zugrunde, den die Vorinstanz festgestellt hat.
¹	Das Bundesgericht legt seinem Urteil den Sachverhalt zugrunde, den die Vorinstanz festgestellt hat.
²	Es kann die Sachverhaltsfeststellung der Vorinstanz von Amtes wegen berichtigen oder ergänzen, wenn sie offensichtlich unrichtig ist oder auf einer Rechtsverletzung im Sinne von Artikel 95 beruht.
³	Richtet sich die Beschwerde gegen einen Entscheid über die Zusprechung oder Verweigerung von Geldleistungen der Militär- oder Unfallversicherung, so ist das Bundesgericht nicht an die Sachverhaltsfeststellung der Vorinstanz gebunden.95

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 97 Unrichtige Feststellung des Sachverhalts - 1 Die Feststellung des Sachverhalts kann nur gerügt werden, wenn sie offensichtlich unrichtig ist oder auf einer Rechtsverletzung im Sinne von Artikel 95 beruht und wenn die Behebung des Mangels für den Ausgang des Verfahrens entscheidend sein kann.
¹	Die Feststellung des Sachverhalts kann nur gerügt werden, wenn sie offensichtlich unrichtig ist oder auf einer Rechtsverletzung im Sinne von Artikel 95 beruht und wenn die Behebung des Mangels für den Ausgang des Verfahrens entscheidend sein kann.
²	Richtet sich die Beschwerde gegen einen Entscheid über die Zusprechung oder Verweigerung von Geldleistungen der Militär- oder Unfallversicherung, so kann jede unrichtige oder unvollständige Feststellung des rechtserheblichen Sachverhalts gerügt werden.86

SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
¹	Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
²	Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
^a	Art der bearbeiteten Daten;
^b	Zweck, Art, Umfang und Umstände der Bearbeitung.
³	Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
^a	Ursachen des Risikos;
^b	hauptsächliche Gefahren;
^c	ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
^d	Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
⁴	Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
^a	Stand der Technik;
^b	Implementierungskosten.
⁵	Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.

SR 952.0 Bundesgesetz vom 8. November 1934 über die Banken und Sparkassen (Bankengesetz, BankG) - Bankengesetz BankG Art. 47
¹	Mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe wird bestraft, wer vorsätzlich:
^a	ein Geheimnis offenbart, das ihm in seiner Eigenschaft als Organ, Angestellter, Beauftragter oder Liquidator einer Bank oder einer Person nach Artikel 1b oder als Organ oder Angestellter einer Prüfgesellschaft anvertraut worden ist oder das er in dieser Eigenschaft wahrgenommen hat;
^b	zu einer solchen Verletzung des Berufsgeheimnisses zu verleiten sucht;
^c	ein ihm nach Buchstabe a offenbartes Geheimnis weiteren Personen offenbart oder für sich oder einen anderen ausnützt.
^1bis	Mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe wird bestraft, wer sich oder einem anderen durch eine Handlung nach Absatz 1 Buchstabe a oder c einen Vermögensvorteil verschafft.194
²	Wer fahrlässig handelt, wird mit Busse bis zu 250 000 Franken bestraft.
³	...195
⁴	Die Verletzung des Berufsgeheimnisses ist auch nach Beendigung des amtlichen oder dienstlichen Verhältnisses oder der Berufsausübung strafbar.
⁵	Vorbehalten bleiben die eidgenössischen und kantonalen Bestimmungen über die Zeugnispflicht und über die Auskunftspflicht gegenüber einer Behörde.
⁶	Verfolgung und Beurteilung der Handlungen nach dieser Bestimmung obliegen den Kantonen. Die allgemeinen Bestimmungen des Strafgesetzbuches196 kommen zur Anwendung.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 4 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter - 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
¹	Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
²	Von der Aufsicht durch den EDÖB sind ausgenommen:
^a	die Bundesversammlung;
^b	der Bundesrat;
^c	die eidgenössischen Gerichte;
^d	die Bundesanwaltschaft: betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
^e	Bundesbehörden: betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.

SR 210 Schweizerisches Zivilgesetzbuch vom 10. Dezember 1907 ZGB Art. 2 - 1 Jedermann hat in der Ausübung seiner Rechte und in der Erfüllung seiner Pflichten nach Treu und Glauben zu handeln.
¹	Jedermann hat in der Ausübung seiner Rechte und in der Erfüllung seiner Pflichten nach Treu und Glauben zu handeln.
²	Der offenbare Missbrauch eines Rechtes findet keinen Rechtsschutz.

SR 220 Erste Abteilung: Allgemeine Bestimmungen Erster Titel: Die Entstehung der Obligationen Erster Abschnitt: Die Entstehung durch Vertrag OR Art. 321^a - 1 Der Arbeitnehmer hat die ihm übertragene Arbeit sorgfältig auszuführen und die berechtigten Interessen des Arbeitgebers in guten Treuen zu wahren.
¹	Der Arbeitnehmer hat die ihm übertragene Arbeit sorgfältig auszuführen und die berechtigten Interessen des Arbeitgebers in guten Treuen zu wahren.
²	Er hat Maschinen, Arbeitsgeräte, technische Einrichtungen und Anlagen sowie Fahrzeuge des Arbeitgebers fachgerecht zu bedienen und diese sowie Material, die ihm zur Ausführung der Arbeit zur Verfügung gestellt werden, sorgfältig zu behandeln.
³	Während der Dauer des Arbeitsverhältnisses darf der Arbeitnehmer keine Arbeit gegen Entgelt für einen Dritten leisten, soweit er dadurch seine Treuepflicht verletzt, insbesondere den Arbeitgeber konkurrenziert.
⁴	Der Arbeitnehmer darf geheim zu haltende Tatsachen, wie namentlich Fabrikations- und Geschäftsgeheimnisse, von denen er im Dienst des Arbeitgebers Kenntnis erlangt, während des Arbeitsverhältnisses nicht verwerten oder anderen mitteilen; auch nach dessen Beendigung bleibt er zur Verschwiegenheit verpflichtet, soweit es zur Wahrung der berechtigten Interessen des Arbeitgebers erforderlich ist.

SR 220 Erste Abteilung: Allgemeine Bestimmungen Erster Titel: Die Entstehung der Obligationen Erster Abschnitt: Die Entstehung durch Vertrag OR Art. 20 - 1 Ein Vertrag, der einen unmöglichen oder widerrechtlichen Inhalt hat oder gegen die guten Sitten verstösst, ist nichtig.
¹	Ein Vertrag, der einen unmöglichen oder widerrechtlichen Inhalt hat oder gegen die guten Sitten verstösst, ist nichtig.
²	Betrifft aber der Mangel bloss einzelne Teile des Vertrages, so sind nur diese nichtig, sobald nicht anzunehmen ist, dass er ohne den nichtigen Teil überhaupt nicht geschlossen worden wäre.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 36 Bekanntgabe von Personendaten - 1 Bundesorgane dürfen Personendaten nur bekanntgeben, wenn dafür eine gesetzliche Grundlage nach Artikel 34 Absätze 1-3 besteht.
¹	Bundesorgane dürfen Personendaten nur bekanntgeben, wenn dafür eine gesetzliche Grundlage nach Artikel 34 Absätze 1-3 besteht.
²	Sie dürfen Personendaten in Abweichung von Absatz 1 im Einzelfall bekanntgeben, wenn eine der folgenden Voraussetzungen erfüllt ist:
^a	Die Bekanntgabe der Daten ist für den Verantwortlichen oder für die Empfängerin oder den Empfänger zur Erfüllung einer gesetzlichen Aufgabe unentbehrlich.
^b	Die betroffene Person hat in die Bekanntgabe eingewilligt.
^c	Die Bekanntgabe der Daten ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen.
^d	Die betroffene Person hat ihre Daten allgemein zugänglich gemacht und eine Bekanntgabe nicht ausdrücklich untersagt.
^e	Die Empfängerin oder der Empfänger macht glaubhaft, dass die betroffene Person die Einwilligung verweigert oder Widerspruch gegen die Bekanntgabe einlegt, um ihr oder ihm die Durchsetzung von Rechtsansprüchen oder die Wahrnehmung anderer schutzwürdiger Interessen zu verwehren; der betroffenen Person ist vorgängig Gelegenheit zur Stellungnahme zu geben, es sei denn, dies ist unmöglich oder mit unverhältnismässigem Aufwand verbunden.
³	Die Bundesorgane dürfen Personendaten darüber hinaus im Rahmen der behördlichen Information der Öffentlichkeit von Amtes wegen oder gestützt auf das Öffentlichkeitsgesetz vom 17. Dezember 20048 bekanntgeben, wenn:
^a	die Daten im Zusammenhang mit der Erfüllung öffentlicher Aufgaben stehen; und
^b	an der Bekanntgabe ein überwiegendes öffentliches Interesse besteht.
⁴	Sie dürfen Name, Vorname, Adresse und Geburtsdatum einer Person auf Anfrage auch bekanntgeben, wenn die Voraussetzungen nach Absatz 1 oder 2 nicht erfüllt sind.
⁵	Sie dürfen Personendaten mittels automatisierter Informations- und Kommunikationsdienste allgemein zugänglich machen, wenn eine Rechtsgrundlage die Veröffentlichung dieser Daten vorsieht oder wenn sie Daten gestützt auf Absatz 3 bekanntgeben. Besteht kein öffentliches Interesse mehr daran, die Daten allgemein zugänglich zu machen, so werden die betreffenden Daten aus dem automatisierten Informations- und Kommunikationsdienst gelöscht.
⁶	Die Bundesorgane lehnen die Bekanntgabe ab, schränken sie ein oder verbinden sie mit Auflagen, wenn:
^a	wesentliche öffentliche Interessen oder offensichtlich schutzwürdige Interessen der betroffenen Person es verlangen; oder
^b	gesetzliche Geheimhaltungspflichten oder besondere Datenschutzvorschriften es verlangen.

SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung DSV Art. 2 Ziele - Der Verantwortliche und der Auftragsbearbeiter müssen technische und organisatorische Massnahmen treffen, damit die bearbeiteten Daten ihrem Schutzbedarf entsprechend:
^a	nur Berechtigten zugänglich sind (Vertraulichkeit);
^b	verfügbar sind, wenn sie benötigt werden (Verfügbarkeit);
^c	nicht unberechtigt oder unbeabsichtigt verändert werden (Integrität);
^d	nachvollziehbar bearbeitet werden (Nachvollziehbarkeit).

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
¹	Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
²	Für privatrechtliche Ansprüche gilt das Bundesgesetz vom 18. Dezember 19874 über das Internationale Privatrecht. Vorbehalten bleiben zudem die Bestimmungen zum räumlichen Geltungsbereich des Strafgesetzbuchs5.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 13 Zertifizierung - 1 Die Hersteller von Datenbearbeitungssystemen oder -programmen sowie die Verantwortlichen und Auftragsbearbeiter können ihre Systeme, Produkte und Dienstleistungen einer Bewertung durch anerkannte unabhängige Zertifizierungsstellen unterziehen.
¹	Die Hersteller von Datenbearbeitungssystemen oder -programmen sowie die Verantwortlichen und Auftragsbearbeiter können ihre Systeme, Produkte und Dienstleistungen einer Bewertung durch anerkannte unabhängige Zertifizierungsstellen unterziehen.
²	Der Bundesrat erlässt Vorschriften über die Anerkennung von Zertifizierungsverfahren und die Einführung eines Datenschutz-Qualitätszeichens. Er berücksichtigt dabei das internationale Recht und die international anerkannten technischen Normen.

SR 220 Erste Abteilung: Allgemeine Bestimmungen Erster Titel: Die Entstehung der Obligationen Erster Abschnitt: Die Entstehung durch Vertrag OR Art. 339^a - 1 Auf den Zeitpunkt der Beendigung des Arbeitsverhältnisses hat jede Vertragspartei der andern alles herauszugeben, was sie für dessen Dauer von ihr oder von Dritten für deren Rechnung erhalten hat.
¹	Auf den Zeitpunkt der Beendigung des Arbeitsverhältnisses hat jede Vertragspartei der andern alles herauszugeben, was sie für dessen Dauer von ihr oder von Dritten für deren Rechnung erhalten hat.
²	Der Arbeitnehmer hat insbesondere Fahrzeuge und Fahrausweise zurückzugeben sowie Lohn- oder Auslagenvorschüsse soweit zurückzuerstatten, als sie seine Forderungen übersteigen.
³	Vorbehalten bleiben die Retentionsrechte der Vertragsparteien.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 66 Erhebung und Verteilung der Gerichtskosten - 1 Die Gerichtskosten werden in der Regel der unterliegenden Partei auferlegt. Wenn die Umstände es rechtfertigen, kann das Bundesgericht die Kosten anders verteilen oder darauf verzichten, Kosten zu erheben.
¹	Die Gerichtskosten werden in der Regel der unterliegenden Partei auferlegt. Wenn die Umstände es rechtfertigen, kann das Bundesgericht die Kosten anders verteilen oder darauf verzichten, Kosten zu erheben.
²	Wird ein Fall durch Abstandserklärung oder Vergleich erledigt, so kann auf die Erhebung von Gerichtskosten ganz oder teilweise verzichtet werden.
³	Unnötige Kosten hat zu bezahlen, wer sie verursacht.
⁴	Dem Bund, den Kantonen und den Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen dürfen in der Regel keine Gerichtskosten auferlegt werden, wenn sie in ihrem amtlichen Wirkungskreis, ohne dass es sich um ihr Vermögensinteresse handelt, das Bundesgericht in Anspruch nehmen oder wenn gegen ihre Entscheide in solchen Angelegenheiten Beschwerde geführt worden ist.
⁵	Mehrere Personen haben die ihnen gemeinsam auferlegten Gerichtskosten, wenn nichts anderes bestimmt ist, zu gleichen Teilen und unter solidarischer Haftung zu tragen.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 68 Parteientschädigung - 1 Das Bundesgericht bestimmt im Urteil, ob und in welchem Mass die Kosten der obsiegenden Partei von der unterliegenden zu ersetzen sind.
¹	Das Bundesgericht bestimmt im Urteil, ob und in welchem Mass die Kosten der obsiegenden Partei von der unterliegenden zu ersetzen sind.
²	Die unterliegende Partei wird in der Regel verpflichtet, der obsiegenden Partei nach Massgabe des Tarifs des Bundesgerichts alle durch den Rechtsstreit verursachten notwendigen Kosten zu ersetzen.
³	Bund, Kantonen und Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen wird in der Regel keine Parteientschädigung zugesprochen, wenn sie in ihrem amtlichen Wirkungskreis obsiegen.
⁴	Artikel 66 Absätze 3 und 5 ist sinngemäss anwendbar.
⁵	Der Entscheid der Vorinstanz über die Parteientschädigung wird vom Bundesgericht je nach Ausgang des Verfahrens bestätigt, aufgehoben oder geändert. Dabei kann das Gericht die Entschädigung nach Massgabe des anwendbaren eidgenössischen oder kantonalen Tarifs selbst festsetzen oder die Festsetzung der Vorinstanz übertragen.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 2 Unabhängigkeit - 1 Das Bundesgericht ist in seiner Recht sprechenden Tätigkeit unabhängig und nur dem Recht verpflichtet.
¹	Das Bundesgericht ist in seiner Recht sprechenden Tätigkeit unabhängig und nur dem Recht verpflichtet.
²	Seine Entscheide können nur von ihm selbst nach Massgabe der gesetzlichen Bestimmungen aufgehoben oder geändert werden.