Cour supérieure de justice, 6 décembre 2023, n° 2021-00650

Arrêt N° 141/23-II-CIV Audience publique du six décembre deux mille vingt-trois Numéro CAL-2021-00650 du rôle Composition: Danielle SCHWEITZER, président de chambre, Béatrice KIEFFER, premier conseiller, Martine WILMES, premier conseiller, Alexandra NICOLAS, greffier. E n t r e: PERSONNE1.), demeurant en Israël à IL-ADRESSE1.), appelantaux termes d’un exploit de l’huissier de justice Patrick KURDYBAN deLuxembourg du 25 mai 2021, comparant par Maître Mathieu RICHARD, avocat à la Cour, demeurant à Luxembourg, e t: la société de droit suisseSOCIETE1.)(anciennement SOCIETE1.)), établie et ayant son siège social en Suisse à CH-ADRESSE2.), prise dans le cadre des activités de sa succursale, anciennement établie à ADRESSE3.), inscrite au registre de commerce et des sociétés de Luxembourg sous le numéro NUMERO1.), à la suite de la clôture intervenue avec effet au 31 mars 2022 représentée par l’organe habilité à la représenter,

2 intiméeaux fins du prédit exploit Patrick KURDYBAN du 25 mai 2021, comparantpar la société anonyme ARENDT & MEDERNACH, inscrite à la liste V du Tableau de l’Ordre des Avocats du Barreau de Luxembourg, représentée aux fins des présentes par Maître Philippe DUPONT, avocat à la Cour, demeurant à Luxembourg. LA COUR D'APPEL : Par exploit d’huissier du 30 avril 2019, PERSONNE1.) a fait donner assignation à la société de droit suisse SOCIETE1.) (ci-après la société SOCIETE1.)) à comparaître devant le tribunal d‘arrondissement de Luxembourg pour s’y voir interdire: «de transférer les données bancaires en sa possession à quiconque et plus particulièrement à une quelconque autorité américaine, dont le DOJ, relatives aux conventions bancaires suivantes: -lecompte bancaire, portant le numéro n° NUMERO2.), ouvert en date du 29 février 2004, au nom de Monsieur PERSONNE1.), -le compte bancaire, portant le numéro n° NUMERO3.), ouvert en date du 10 octobre 2001, au nom de la société SOCIETE2.), dont Monsieur PERSONNE1.) est le bénéficiaire économique, -lecompte bancaire, ouvert en date du 11 mai 2003, au nom de la société SOCIETE3.), dont Monsieur PERSONNE1.) est le bénéficiaire économique, -le compte bancaire, ouvert en date du 21 septembre 2005, portant le numéro n° NUMERO4.), au nom de la société SOCIETE2.), dont Monsieur PERSONNE1.) est le bénéficiaire économique, sous peine d’astreinte de 500.000 EUR en cas de contravention et pour chacune d’entre elle, sur base de l’article 2059 du Code civil.» PERSONNE1.) a encore demandé à voir condamner la société SOCIETE1.) à une indemnité de procédure de 3.000 EUR et aux frais de l’instance, et à voir ordonner l’exécution provisoire du jugement à intervenir. A l’appui de son action, PERSONNE1.) a exposé que la société SOCIETE1.) fait l’objet d’une enquête pénale aux Etats-Unis d’Amérique du chef de complicité à la fraude fiscale et qu’elle risque dans ce cadre de transmettre aux autorités américaines, dont notamment le Ministère de la Justice (Department of Justice, DOJ), des informations devant être qualifiées de données personnelles le concernant. Une telle transmission, pour laquelle il n’a pas donné son accord et à laquelle il s’est opposé, constituerait une violation des règles en vigueur au Luxembourg concernant la protection des données personnelles, notamment le règlement RGDP [règlement (UE) 2016/679 du

3 Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)]. Les données que la société SOCIETE1.) serait appelée à transférer aux Etats-Unis d’Amérique, même si elles devaient être aménagées de telle façon à ce qu’il ne puisse pas être identifié directement, permettraient néanmoins de l’identifier indirectement, soit par recoupement avec d’autres informations, soit par voie de commission rogatoire internationale, et seraient partant couvertes par la protection des données personnelles. La société SOCIETE1.) s’est opposée à la demande. Elle a soulevé la fin de non-recevoir tirée de l’absence d’intérêt à agir de PERSONNE1.). La demande serait irrecevable pour autant qu’elle concernerait les parties tierces, à savoir la société SOCIETE2.) et la société SOCIETE3.) Celles-ci ne seraient pas demanderesses à l’instance et ne sauraient plaider par procureur par la voie de PERSONNE1.). Elle a relevé qu’il est impossible de savoir si le cas échéant une demande émanant des autorités américaines porte sur des données relevant de la catégorie des données personnelles de PERSONNE1.). Ce serait à tort que PERSONNE1.) opérerait un lien avec les informations sollicitées usuellement par les autorités américaines de façon standardisée dans le cadre du «Program for non-prosecution agreements or non-target letters for swiss banks», alors qu’elle serait exclue de ce programme et que rien ne permettrait de dire qu’une éventuelle demande des autorités américaines se ferait par analogie à ces standards, ou irait même au-delà. Il appartiendrait à PERSONNE1.) de démontrer que les chances de succès de son action seraient remplies, à savoir que la société SOCIETE1.) serait amenée à transférer des données personnelles aux autorités américaines. Cette preuve neserait pas rapportée. Le débat soulevé par PERSONNE1.) serait purement hypothétique et à défaut par PERSONNE1.) de préciser quelles données personnelles protégées seraient susceptibles d’être transférées aux Etats-Unis d’Amérique, sa demandeserait à rejeter. Par jugement du 7 octobre 2020, le tribunal d’arrondissement de et à Luxembourg, a -dit la demande recevable, -dit la demande partiellement fondée, partant interdit à la société SOCIETE1.) de transférer à une quelconque autorité américaine, dont le Ministère de la Justice (Department of Justice, DOJ),

4 -toutes les données en relation avec l’intégralité des données concernant le compte bancaire, portant le numéro n° NUMERO2.), ouvert en date du 29 février 2004, au nom de PERSONNE1.), -les données concernant la qualité de bénéficiaire économique de PERSONNE1.) du compte bancaire portant le numéro n° NUMERO3.), ouvert en date du 10 octobre 2001, au nom de la société SOCIETE2.), et toute autre information permettant d’identifier PERSONNE1.) enrelation avec ce compte, tel que par exemple la détention d’une part du capital social ou d’un pouvoir de signature dans la société SOCIETE2.), -les données concernant la qualité de bénéficiaire économique de PERSONNE1.) du compte bancaire portant le numéro n° NUMERO4.), ouvert en date du 21 septembre 2005, au nom de la société SOCIETE2.), et toute autre information permettant d’identifier PERSONNE1.) en relation avec ce compte, tel que par exemple la détention d’une part du capital social ou d’un pouvoir de signature dans la société SOCIETE2.), -les données permettant d’identifier PERSONNE1.) en relation avec le compte bancaire ouvert en date du 11 mai 2003 au nom de la société SOCIETE3.), tel que par exemple la détention d’une part du capital social ou d’un pouvoir de signature dans la société SOCIETE3.), -le tout sous peine d’une astreinte de 100.000 EUR par contravention (soit par donnée transférée), -fixé le maximum de l’astreinte à 1.000.000 EUR, -ditqu’il n’y a pas lieu à exécution provisoire du présent jugement, -condamné la société SOCIETE1.) à payer à PERSONNE1.) une indemnité de procédure de 3.000 EUR, -débouté la société SOCIETE1.) de la demande basée sur l’article 240 du Nouveau Code de procédure civile, -condamné la société SOCIETE1.) aux frais et dépens. Par exploit d’huissier de justice du 25 mai 2021, PERSONNE1.) a régulièrement relevé appel de la décision du 7 octobre 2020 lui signifié par la société SOCIETE1.) par exploit d’huissier de justice du 18 mars 2021. Il demande de réformer partiellement la décision entreprise, d’interdire à la société SOCIETE1.) de transférer toutes les données bancaires en sa possession à quiconque et plus particulièrement à une quelconque autorité américaine,dont le DOJ, relatives aux conventions bancaires suivantes: -le compte bancaire, portant le numéro n° NUMERO3.), ouvert en date du 10 octobre 2001, au nom de la société SOCIETE2.), dont il est le bénéficiaire économique,

5 -le compte bancaire, ouvert en date du 11 mai 2003, au nom de la société SOCIETE3.), dont il est le bénéficiaire économique, -le compte bancaire, ouvert en date du 21 septembre 2005, portant le numéro n° NUMERO4.), au nom de la société SOCIETE2.), dont il est le bénéficiaire économique. Il demande d’assortir cette condamnation d’une astreinte de 500.000 EUR en cas de contravention et de voir porter ladite astreinte au même montant pour l’interdiction de transférer toutes les données en relation avec le compte bancaire, portant le numéro n°NUMERO2.), ouvert le 29 février 2004. Pour le surplus, il demande la confirmation du jugement entrepris et l’allocation d’une indemnité de procédure de 5.000 EUR pour l’instance d’appel. Dans le cadre de ses conclusions récapitulatives,PERSONNE1.) demande principalement de réformer partiellement le jugement entrepris et de confirmer «l’injonction de l’arrêt de référé de la Cour d’appel du 6 mai 2020». Il demande d’interdire à la société SOCIETE1.) de transférer toutes les données bancaires en sa possession à une quelconque autorité américaine, dont le DOJ, relatives aux conventions bancaires spécifiées dans son acte d’appel sous peine d’astreinte de 500.000 EUR en cas de contravention et de voir porter ladite astreinte au même montantpour l’interdiction de transférer toutes les données en relation avec le compte bancaire, portant le numéro NUMERO2.), ouvert en date du 29 février 2004, de confirmer le jugement entrepris pour le surplus, de constater que l’injonction a été violée par lasociété SOCIETE1.) et d’ordonner la liquidation de l’astreinte tel que prévue par l’arrêt de référé de la Cour d’appel du 6 mai 2020. En ordre subsidiaire, PERSONNE1.) demande à la Cour d’appel de surseoir à statuer et dans le doute quant à la qualité dedonnées personnelles de poser à la Cour de Justice de l’Union Européenne (ci-après CJUE) les questions préjudicielles suivantes: «1)L’envoi par[la société SOCIETE1.)]de données bancaires, telles que la qualité d’ouverture du compte, le montantmaximum détenu par le compte, toutes les informations concernant les montants entrants et sortants du compte , ainsi que de manière générale les données figurant au point II.D.2 du Program For Non-prosecution Agreement sot Non-target Letters For Swiss Banksont- elles à considérer comme des données personnelles du détenteur du compte et du bénéficiaire économique de la société détentrice du compte bancaire au sens de l’article 4,nr 1) du Règlement ( UE)2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et la libre circulation de ces personnes, eu égard aux moyens dont disposent les autorités américaines aux fins d’identification de ces personnes via une demande d’entraide judiciaire ou le regroupement d’information sur base de logiciels de traitement de données?

6 2. Les données personnelles d’une personne peuvent-elles être constitutives des données personnelles d’autres membres de sa famille si ces données permettent in fine d’aboutir à l’identification de ces autres membres de la famille?» En tout état de cause, l’appelant demande d’enjoindre à l’intimée de communiquer l’intégralité des annexes de la décision d’injonction du 14 juillet 2014 de l’ACD, à savoir «le questionnaire anglais de la demande d’information des autorités américaines» et le formulaire «Exhibit A» y mentionnés sur base de l’article 280 du Nouveau Code de procédure civile et de voir assortir l’injonction de production forcée d’une astreinte de 10.000 EURpar jour de retard. Il demande encore la condamnation de la société SOCIETE1.) au remboursement de frais d’avocats d’un montant de 60.207,77 EUR. L’appelant expose qu’il est en désaccord sur deux points avec le jugement entrepris à savoir sur la questionde son intérêt à agir et sur la notion de données personnelles. Il estime quant à son intérêt à agir que c’est à tort que les juges de première instance ont dit qu’il aurait disparu en cours d’instance du fait de la protection octroyée par l’arrêt du 6 mai 2020 rendu en matière d’appel du juge des référés faisant droit à sa demande de mesure provisoire sur base de l’article 933, alinéa 1 er du Nouveau Code de procédure civile dans exactement les mêmes termes que ceux utilisés par lui dans le cadre de l’action introduite par exploit d’huissier de justice du 30 avril 2019 et du fait du prononcé de cet arrêt. Le juges de première instance auraient dit à tort qu’il bénéficie d’une protection juridictionnelle effective de ces données personnelles telle qu’alléguées par lui et admis par la Cour d’appel. Les décisions en matière de référé n’auraient pas autorité de chose jugée au fond en application de l’article 938 du Nouveau Code de procédure civile. La conception plus restrictive de la notion de données personnelles que celle retenue par l’arrêt de référé de la Cour d’appel, serait venue limiter la protection octroyée au provisoire. En ce qui concerne la notion de données personnelles, l’appelant estime que le raisonnement des juges de première instance selonlequel la protection des données personnelles ne bénéficie qu’aux personnes physiques, à l’exception des personnes morales et que les informations relatives à l’ouverture, au fonctionnement et à la clôture de ces comptes ouverts au nom d’une personne morale ne bénéficient d’aucune protection au titre de la protection des données personnelles est inexact. Il convient d’abord de donner acte à l’intimée que suivant résolution du conseil d’administration de la société SOCIETE1.) prise en date du 2 mars 2022,le conseil d’administration a décidé la fermeture, avec effet au 31 mars 2022 de la succursale luxembourgeoise existant sous la dénomination SOCIETE4.),

7 établie à ADRESSE4.) et immatriculée auprès du registre de commerce et des sociétés sous le numéro NUMERO5.), (SOCIETE4.). La société SOCIETE1.) vient aux droits de sa succursale à la suite de la clôture intervenue avec effet au 31 mars 2022. Le contexte du litige Il est admis en cause que la société SOCIETE1.) est sous le coup d’une procédurepénale. Il est également constant en cause que la société SOCIETE1.) et, avant sa clôture, la société SOCIETE4.) sont exclues du programme «Program for non-prosecution agreements or non-target letters for swiss banks» conclu le 29 août 2013 entre les autorités américaines et la Suisse. Ce programme prévoit un cadre légal de coopération entre les banques suisses et les autorités américaines pour trouver une solution au litige fiscal qui les oppose. Ce programme s’adresse uniquement aux banques qui ne fontpas l’objet d’une enquête pénale ce qui n’est pas le cas pour les entités du groupe SOCIETE1.) contre lequel une enquête pénale a été ouverte. PERSONNE1.) était dans le passé en relations contractuelles directes ou indirectes avec la succursale luxembourgeoise de la société SOCIETE1.) au titre des relations bancaires suivantes: -un compte bancaire portant le numéro NUMERO2.), ouvert le 29 février 2004 au nom de PERSONNE1.), -un compte bancaire portant le numéro NUMERO3.), ouvert le 10 octobre 2001, au nomde la société SOCIETE2.), -un compte bancaire portant le numéro NUMERO4.), ouvert le 21 septembre 2005, au nom de la société SOCIETE2.), -un compte bancaire, ouvert le 11 mai 2003, au nom de la société SOCIETE3.). Le compte bancaire numéro NUMERO2.) a ét é ouvert au nom de PERSONNE1.). Les comptes bancaires numéros NUMERO3.) et NUMERO4.) ont été ouverts au nom de la société SOCIETE2.) et PERSONNE1.) en était le bénéficiaire économique. Ces comptes ont été clôturés respectivement le 12 juillet 2012 (compten° NUMERO3.)) et 22 juin 2012 (compte n° NUMERO4.)). Le compte bancaire ouvert le 11 mai 2003 a été ouvert au nom de la société SOCIETE3.) dont PERSONNE2.) et PERSONNE3.) sont les bénéficiaires économiques. Le 23 avril 2018, PERSONNE1.) a été informé que la société SOCIETE1.) fait l’objet d’une enquête diligentée par le DOJ pour complicité de fraude fiscale et qu’elle se verrait contrainte de remettre à la Justice américaine un certain nombre d’informations, référenciées comme «II.D.2 Information» concernant

8 son compte personnel, les deux comptes de la société SOCIETE2.) et le compte de la société SOCIETE3.). Estimant que les données que la société SOCIETE1.) pourrait soumettre aux autorités américaines seraient couvertes par le Règlement concernant la protection des données personnelles, notamment le règlement RGDP [règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et àla libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)], PERSONNE1.) a engagé diverses procédures à l’encontre de la société SOCIETE1.) fondées sur la crainte qu’elle transmette de manière illégale des données personnelles le concernant au DOJ. C’est d’abord à juste titre que les juges de première instance ont dit que les procédures devant les juridictions suisses sont sans incidence sur le litige soumis aux juridictionsluxembourgeoises. Par un arrêt du 6 mai 2020, la Cour d’appel, siégeant en matière d’appel de référé, a interdit à la société SOCIETE1.) de transférer aux autorités américaines, dont le DOJ les données personnelles de PERSONNE1.) relatives aux comptes SOCIETE2.), SOCIETE3.) et au compte personnel de PERSONNE1.) sous peine d’une astreinte de 100.000 EUR par contravention. Le jugement entrepris rendu sur le fond en première instance fait interdiction à la société SOCIETE1.) de transférer à une quelconque autorité américaine, dont le Ministère de la Justice (Department of Justice, DOJ): -toutes les données en relation avec l’intégralité des données concernant le compte bancaire, portant le numéro n° NUMERO2.), ouvert en date du 29 février 2004, au nom de PERSONNE1.), -les données concernant la qualité de bénéficiaire économique de PERSONNE1.) du compte bancaire portant le numéro n° NUMERO3.), ouvert en date du 10 octobre 2001, au nom de la société SOCIETE2.), et toute autre information permettant d’identifierPERSONNE1.) en relation avec ce compte, tel que par exemple la détention d’une part du capital social ou d’un pouvoir de signature dans la société SOCIETE2.), -les données concernant la qualité de bénéficiaire économique de PERSONNE1.) du compte bancaire portant le numéro n° NUMERO4.), ouvert en date du 21 septembre 2005, au nom de la société SOCIETE2.), et toute autre information permettant d’identifier PERSONNE1.) en relation avec ce compte, tel que par exemple la détention d’une part du capital social oud’un pouvoir de signature dans la société SOCIETE2.), -les données permettant d’identifier PERSONNE1.) en relation avec le compte bancaire ouvert en date du 11 mai 2003 au nom de la société SOCIETE3.), tel que par exemple la détention d’une part du capital social ou d’un pouvoir de signature dans la société SOCIETE3.),

9 le tout sous peine d’une astreinte de 100.000 EUR par contravention (soit par donnée transférée). Ce jugement limite la protection accordée à PERSONNE1.) par l’arrêt du 6 mai 2020. PERSONNE1.) critique le jugement entrepris en ce qu’il n’interdit pas à la société SOCIETE1.) de transférer à une quelconque autorité américaine dont le DOJ toutes les données relatives aux comptes SOCIETE2.) et toutes les données relatives au Compte SOCIETE3.). La société SOCIETE1.) conclut en ordre principal au rejet de la demande de PERSONNE1.) pour absence d’objet. A titre subsidiaire, elle déclare interjeter appel incident et demande de dire principalement que la demande en ce qu’elle vise des données appartenant à des sociétés pour lesquelles PERSONNE1.) n’a ni capacité ni pouvoir pour agir est à déclarer irrecevable en vertu du principe que nul ne plaide par procureur; subsidiairement qu’il n’existe aucune donnée personnelle concernant PERSONNE1.) en relation avec le compte SOCIETE3.) et les comptes SOCIETE2.), plus subsidiairement que la protection des données au sens du RGPD ne s’applique pas aux données concernant des personnes morales. Quant à l’objet de la demande de PERSONNE1.) La société SOCIETE1.)s’est vu notifier une décision d’injonction par l’ADMINISTRATION DES CONTRIBUTIONS DIRECTES (ACD) sur base de l’article 3 de la loi du 25 novembre 2014 sur la procédure applicable à l’échange de renseignements en matière fiscale (ci-après la loi de 2014).La société SOCIETE1.) a répondu positivement à cette demande. Elle conteste avoir violé l’interdiction de communiquer des informations aux autorités américaines décidée par l’arrêt du 6 mai 2020. La décision du 6 mai 2020 ne lui aurait pas interdit de répondre à une demande d’information formulée par une autorité luxembourgeoise, en vertu des pouvoirs que la loi attribue à cette autorité. En vertu de la loi de 2014 elle se serait trouvée dans l’obligation de coopérer et de répondre à la décision d’injonction, ce qu’elle aurait fait. Cette même obligation aurait justifié le transfert par l’ACD des informations demandées par l’ORGANISATION1.) (ci-après ORGANISATION1.)). L’ACD aurait dû respecter la loi de 2014 ainsi que les conventions internationales en vigueur. L’arrêt du 6 mai 2020, bien qu’interdisant effectivement à la société SOCIETE1.) de remettre volontairement aux autorités américaines les données en question, ne saurait en aucun cas être interprété comme une interdiction de respecter les obligationslui incombant en vertu de la loi de 2014. Selon l’intimée, la demande de PERSONNE1.) est cependant devenue sans objet à la suite de la décision d’injonction qui a donné lieu à un transfert à l’ORGANISATION1.) d’informations relatives aux comptes SOCIETE3.) et SOCIETE2.) et notamment celle concernant l’identité du bénéficiaire économique de cette société. S’il devait ainsi exister des informations concernant PERSONNE1.) en relation avec les comptes SOCIETE2.), tel que l’affirme PERSONNE1.), de telles informations auraient d’ores et déjà été transmises aux autorités américaines dans le cadre de la demande d’échanges de renseignement en matière fiscale.

10 Par conséquent la demande de l’appelant, définie en première instance comme étant «une actionpréventive conservatoire» visant à interdire à la société SOCIETE1.) de transférer à une quelconque autorité américaine toutes les données le concernant en relation avec les comptes de la société SOCIETE2.), serait devenue sans objet. PERSONNE1.) réplique que ce serait la société SOCIETE1.) qui l’aurait identifié auprès des autorités américaines et que ce serait à tort que la société SOCIETE1.) prétend qu’elle est étrangère à la demande d’entraide fiscale américaine. Il fait valoir que les données transmises par la société SOCIETE1.) étaient des données pseudonymisées puisqu’elles ont permisin finede l’identifier et ce malgré l’existence d’injonctions judiciaires en Suisse et au Luxembourg à l’encontre de la société SOCIETE1.). Il renvoie à cet effet au courrier de l’ACD du 14 juillet 2021 selon lequel la demande des autorités américaines ferait suite à l’identification des personnes physiques par la société SOCIETE1.) auprès des autorités américaines. La demande américaine aurait été basée sur des numéros de comptes que la société SOCIETE1.) a transmis aux autorités américaines. Il prétend que pour contourner l’application du RGPD en Europe, les autorités américaines procèdent par voie de phishing en forçant les opérateurs établis en Europe à leur transmettre des données à caractère personnel de leurs clients, puis sur base de ces données rassemblées illégalement, elles formulent des demandes d’entraide judiciaire ou administratives qui, elles sont légales à priori car fondées sur des traités internationaux. Les données II.D.2 seraient des données à caractère personnel puisqu’elles ont permis à l’identifier et les membres de sa famille au titre de leur rattachement supposé avec des «US related account» (comptes non situés aux Etats-Unis, mais dont la nationalité des détenteurs directs ou indirects laisse supposer un rattachement aux Etats- Unis). Le courrier du 15 novembre 2022 lui adressé par l’ACD confirmerait que les données Liste II.D.2 seraient bien des données à caractère personnel. Intérêt à agir Aux termes de l’article 578 du Nouveau Code de procédure civile, la voie de l’appel est ouverte en toutes matières, mêmes gracieuses, contre les jugements de première instance s’il n’en est autrement disposé. L’intérêt à agir d’une partie est fonction de l’utilité escomptée d’une action et non de l’existence effective du droit invoqué qui tient, elle, au fond. Le défaut d’intérêt à agir conduit en principe au rejet de la demande pour défaut d’objet. L’intérêt né et actuel constitue la condition la plus traditionnelle de recevabilité de la demande en justice. Il y a intérêt né et actuel lorsqu’il y a préjudice subi. Il y a cependant aussi intérêt né et actuel en présence d’un préjudice futur si ce dernier a un caractère de certitude suffisant du fait de sonimminence ou de sa probabilité.

11 Si le jugement entrepris du tribunal d’arrondissement a, en partie donné, gain de cause à PERSONNE1.), il se dégage cependant de la lecture de ce jugement ainsi que du jugement du 6 mai 2020, rendu par la Cour d’appel en matière d’appel de référé, que la protection accordée à l’appelant par le jugement entrepris a été réduite. Dès lors et, même si la décision d’injonction de l’ACD, a donné lieu à un transfert à l’ORGANISATION1.) d’informations relatives aux comptes SOCIETE2.) et qu’il soit possible que la décision du 6 mai 2020 ait été violée, PERSONNE1.) a toujours un intérêt actuel et certain à obtenir une décision définitive au fond ne serait-ce que de l’avantage à tirer de l’astreinte attachée à une violation éventuellede l’interdiction prononcée. Il en résulte que le moyen d’irrecevabilité de la société SOCIETE1.) pour absence d’objet de la demande de PERSONNE1.) n’est à cet égard pas fondé. PERSONNE1.) estime que c’est à tort que le jugement entrepris a, en ce qui concerne sa demande introduite par exploit d’huissier de justice du 30 avril 2019, retenu que son intérêt à agir aurait disparu en cours d’instance du fait de la protection octroyée par l’arrêt de référé. L’intérêt pour agir existe lorsque le résultat de lademande introduite est de nature à modifier ou à améliorer la condition juridique du demandeur, respectivement lorsque la demande est de nature à présenter pour lui une utilité ou un avantage. S’agissant d’une condition de recevabilité de la demande, l’intérêt doit exister au jour de la demande en justice. Il n'est pas subordonné à la démonstration préalable du bien-fondé de l'action, il s'apprécie au jour de l'introduction de la demande en justice et ne peut dépendre de circonstances postérieures qui l'auraient rendu sans objet. La disparition de l’intérêt à agir en cours de procédure n’affecte pas la recevabilité de l’action puisque les conditions de recevabilité sont appréciées au jour de l’acte introductif d’instance. Mais la disparition en cours d’instance des circonstances qui fondaient l’intérêt à agir a pour conséquence que la demande devient non fondée ou sans objet (Thierry Hoscheit : Le droit judiciaire privé au Grand-Duché de Luxembourg, N° 999). Les décisions de référé n’ont pas, parnature, autorité de chose jugée au fond, en application de l’article 938 du Nouveau Code de procédure civile. Il résulte des éléments soumis à la Cour d’appel que PERSONNE1.) a, par exploit d’huissier de justice du 28 janvier 2019, donné assignation à lasociété SOCIETE1.) à comparaître devant le Président du Tribunal d’arrondissement, siégeant comme juge des référés, pour voir interdire à la société SOCIETE1.) sur base de l’article 933, alinéa 1 er du Nouveau Code de procédure civile, sinon de l’article 932, alinéa 1 er du Nouveau Code de procédure civile, de transférer à quiconque, et plus particulièrement à une quelconque autorité américaine, dont le Ministère de la Justice des Etats-Unis (U.S. Department of Justice- DOJ) ses données bancaires tant en rapport avec son compte personnel qu’en rapport avec les comptes de la société SOCIETE2.) et de la société

12 SOCIETE3.), dont il est le bénéficiaire économique, le tout sous peine d’une astreinte de 500.000 EUR par convention. Le 30 avril 2019, PERSONNE1.) a fait donner assignation au fond à la société SOCIETE1.). Le dispositif de cette assignation a été rédigée dans les mêmes termes que l’assignation en référé du 28 janvier 2019. Le 22 juillet 2019, PERSONNE1.) a relevé appel de l’ordonnance rendue par le juge des référés du 7 juin 2019 qui n’avait pas fait intégralement droit à sa demande. L’arrêt de la Cour d’appel du 6 mai 2020, réformant l’ordonnance du juge des référés du 7 juin 2019, a fait droit à la demande de PERSONNE1.), à l’exception de l’astreinte. Le 30 avril 2019 date à laquelle PERSONNE1.) a introduit sa demande au fond contre la société SOCIETE1.), il ne bénéficiait pas de la protection lui accordée par l’arrêt de la Cour d’appel du 6mai 2020. L’arrêt de la Cour d’appel du 6 mai 2020 n’a par ailleurs pas fait droit au montant de l’astreinte sollicitée par PERSONNE1.). Il s’ensuit que l’intérêt à agir de PERSONNE1.) n’a pas disparu en cours d’instance et que c’est à tort que les jugesde première instance ont dit que la demande de PERSONNE1.) était en principe sans objet. PERSONNE1.) demande de réformer le jugement entrepris et d’interdire à la société SOCIETE1.) de transférer aux autorités américaines l’ensemble des données bancairesen relation avec les comptes SOCIETE2.) et SOCIETE3.). Dans le cadre de son appel incident, la société SOCIETE1.) demande de déclarer la demande de PERSONNE1.) en ce qu’elle vise des données appartenant à des sociétés pour lesquelles il n’a ni capacité ni pouvoir pour agir irrecevable en vertu du principe selon lequel «nul ne plaide par procureur». La société SOCIETE1.) soulève ainsi, comme en première instance, le défaut d’intérêt et de qualité à agir de PERSONNE1.) pour compte de ces deux sociétés dans la mesure où ces sociétés ne sont pas parties à l’instance et qu’il n’a pas de lien avec ses deux sociétés, sa qualité de bénéficiaire économique de la société SOCIETE2.) et la qualité de bénéficiaires économiques de son fils et de la mère de celui-ci de la société SOCIETE3.) ne lui conférant ni intérêt ni qualité à agir. Ni SOCIETE2.) ni SOCIETE3.) ne sauraient ainsi prendre attitude face à la demande de PERSONNE1.). Il y aurait violation du principe du contradictoire et de l’article 63 du Nouveau Codede procédure civile. PERSONNE1.) invoque que son identification en tant que bénéficiaire économique de la société SOCIETE2.) constitue une donnée personnelle. Il prétend en outre que la société SOCIETE1.) est en aveu que le fait que son fils

13 et sa mère soient renseignés comme bénéficiaires économiques de la société SOCIETE3.) permet de l’identifier. La demande de PERSONNE1.) consiste à voir ordonner l’interdiction de transmettre des données permettant de l’identifier à travers les informations détenues par la société SOCIETE1.) relative aux comptes des sociétés SOCIETE2.) et SOCIETE3.). PERSONNE1.) vise ainsi ses données personnelles et non pas les données des sociétés SOCIETE2.) et SOCIETE3.). Son action tend ainsi à protéger ses données personnelles pourautant qu’elles se trouvent dans ces deux sociétés. Il résulte par ailleurs des données de la cause que la société SOCIETE1.) a elle-même indiqué au cours de la procédure judiciaire en Suisse que le litige a trait à quatre relations bancaires qui permettraient d’identifier PERSONNE1.). C’est partant à bon droit et par une motivation que la Cour d’appel adopte que les juges de première instance ont retenu que la demande de PERSONNE1.) est recevable pour autant qu’elle porte sur les comptes des sociétés SOCIETE2.) et SOCIETE3.), que son intérêt personnel et direct à agir est donné et qu’ils n’ont pas appliqué l’adage invoqué par la société SOCIETE1.). Données personnelles PERSONNE1.) critique les juges de première instance en ce qu’ils n’ont pas prononcé une interdiction à la société SOCIETE1.) de transmettre l’ensemble des données des comptes NUMERO3.) et NUMERO4.) ouverts au nom de la société SOCIETE2.) et de la société SOCIETE3.). Il estime que l’ensemble des données de ces comptes doit être tenu pour des données personnelles et interdit de transfert aux Etats-Unis. L’appelant ne conteste pas que les personnes morales soient exclues du bénéfice de la protection des données. Or, on ne saurait en déduire que les données relatives à une personne morale ne sont pas susceptibles de constituer des données personnelles à une personne physique. Selon PERSONNE1.) une telle approche n’est pas conforme au droit de la protection des données. Il suffirait que les données en question permettent d’identifier directement ou indirectement la personne, pour qu’elles soient considérées comme personnelles. La société SOCIETE1.) estime que contrairement aux dires de PERSONNE1.) et de ce qui a été retenu en première instance, il n’existe aucune donnée personnelle à PERSONNE1.) avec le compte SOCIETE3.) et les comptes SOCIETE2.). Selon la société SOCIETE1.), PERSONNE1.) est totalement étranger à la société SOCIETE3.), alors que d’une part il n’est pas le bénéficiaire économique de cette société et que d’autre part uneparticipation éventuelle dans le capital social ou un éventuel pouvoir de signature n’est pas établi. Ce serait dès lors à tort que les juges de première instance ont interdit à la société SOCIETE1.) de transmettre au DOJ de telles données. En outre, commeselon la société SOCIETE1.) un bénéficiaire économique n‘a aucun droit vis à vis d’une banque dans les livres de laquelle est ouvert le compte de

14 la société dont il est le bénéficiaire, la qualité de bénéficiaire économique de PERSONNE1.) dans la sociétéSOCIETE2.) ne lui confèrerait aucun droit juridiquement protégé qui s’analyserait comme une donnée personnelle à PERSONNE1.) au sens de la législation sur la protection des données. Eu égard au fait qu’il n’existe pas de données personnelles à PERSONNE1.) en relation avec les comptes SOCIETE3.) et SOCIETE2.) la demande de question préjudicielle de PERSONNE1.) serait selon la société SOCIETE1.) dénuée de tout fondement. L’article 4, point 1 du RGPD définit les «données à caractère personnel» comme étant«toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale». L’article 4, point 5 rajoute que la «pseudonymisation» est «le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées àune personne physique identifiée ou identifiable». L’étendue de la notion de «données à caractère personnel» vise au sens large «toute information» et «toutes sortes d’information» (d’ordre privé ou professionnelles ; informations sensibles, commecelles relatives aux origines raciales, ethniques, à la santé ou à l‘appartenance syndicale ; objective, mais aussi subjective) de sorte que l’étendue de la notion de «données pseudonymisées» est toute aussi large et couvre toutes sortes de cryptage. Le considérant 26 RGPD énonce que: «Il y a lieu d’appliquer les principes relatifs à la protection des données à toute information concernant une personne physique identifiée ou identifiable. Les données à caractère personnel qui ont fait l’objet d’une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre

15 personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d’être utilisés pour identifier une personne physique, il convient de prendre en considération l’ensemble des facteurs objectifs, tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci. Il n’y a dès lors pas lieu d’appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable.» Par référence à un arrêt de laCJUE du 19 octobre 2016, le tribunal de première instance a retenu à juste titre que «la réglementation sur la protection des données distingue en tout et pour tout entre deux catégories de données: celles qui sont personnelles et de ce fait protégées et celles qui sont anonymisées et de ce fait soustraites à toute protection. La première catégorie renferme les données qui permettent directement d’identifier la personne concernée (tel que son nom) et les données qui permettent indirectement d’identifier la personne concernée parce qu’elles ont été pseudonymisées (tel que le numéro de téléphone). Le bénéfice de la protection s’applique à toutes les données personnelles, peu importe ledegré de cryptage ou de pseudonymisation, dès lors que l’identification de la personne concernée reste possible.[…]soit les informations transmises ne permettent pas d’identifier la personne concernée, et alors il s’agit de données anonymes dont la transmission n’est pas prohibée par la réglementation relative à la protection des données personnelles ; soit les informations transmises permettent d’identifier la personne concernée, et alors il s’agit de données en clair (si l’identification est possible directement) ou pseudonymisées (si l’identification est possible indirectement) dont la transmission est prohibée par la réglementation relative à la protection des données personnelles (CJUE 19 octobre 2016, aff. C -582/14, Breyer/Bundesrepublik Deutschland, ECLI:EU:C:2016:779)». L’appréciation que la CJUE fait de la personne identifiable ne requiert pas que «toutes les informations permettant d’identifier la personne concernée doivent se trouver entre les mains d’une seule personne. Il suffit de disposer, pour identifier un individu, d’informations complémentaires et que, même si celles- ci sont détenues pas un tiers une telle circonstance» n’apparaît ainsi pas de nature à exclure la qualification en données personnelles (19 octobre 2016, op. cit, pt 44).Il faut que les moyens mis en œuvre par le responsable restent raisonnables (op. cit pt 45). Selon le considérant 1 du RGPD, l’article 8, paragraphe 1 de la Charte des droits fondamentaux de l’Union européenne et l’article 16, paragraphe 1 du traité surle fonctionnement de l’Union Européenne la protection d’une

16 personne physique à l’égard du traitement des données à caractère personnel est un droit fondamental. Suivant courrier du 23 avril 2018, le mandataire de la société SOCIETE1.) a informé le mandataire de l’appelant que «in the absence of a (bank secrecy) waiver, the Bank may disclose to the DOJ the date the account was opened and, where applicable, the maximum value of the amount, and the fact that you client is a U.S. citizen». Par courrier du13 août 2018, le mandataire de la société SOCIETE1.) a encore informé le mandataire de l’appelant que «it is well-established that Swiss banks may provide the U.S. authorities with information similar to that requested by the DOJ in paragraph II.D.2 of the Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks (i.e. “II.D.2 Information”)». Il résulte des termes de ces courriers que la société SOCIETE1.) avait l’intention de transférer aux autorités américaines des données similairesà celles résultant des listes II.D.2 établies par le DOJ dans le cadre du «Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks». La société SOCIETE1.) ne conteste pas qu’il s’agit de données pseudonymisées qui permettentin finel’identification de la personne dans le cadre d’une demande d’entraide judiciaire. Or, les données pseudonymiséessont des données à caractère personnel et soumises à la législation relative à la protection des données. Dans son courrier du 14 juillet 2021, adressé à lasociété SOCIETE1.), l’ACD indique que sa demande fait suite à l’identification des personnes physiques par SOCIETE1.). Il est dit dans ce courrier: «Les personnes physiques concernées par la demande sont les personnes des Etats-Unis (citoyens, résidents ou résidents permanents légaux des Etats- Unis «green card holder»), qui avaient un pouvoir de signature, ayant droit économique, bénéficiaire effectif ou d’autres pouvoirs concernant des comptes ouverts chez SOCIETE1.), Luxembourg Branch, ses prédécesseurs, ses filiales et ses affiliés, qui ont été identifiés par SOCIETE1.) auprès de l’ORGANISATION1.).» S’il est admis en cause que les personnes morales sont exclues du bénéfice de la protection des données on ne saurait en effet légitimement en déduire que les données relatives à une personne morale ne sont pas susceptibles de constituer des données personnelles à une personne physique. Il suffit, en effet, au vu de tout ce qui précède, que ces données permettent d’identifier directement ou indirectement la personne pour qu’elles soient considérées comme personnelles.

17 Au titre des données des «US related accounts» devant être transférées (Swiss bankprogramm, point II.D.1-2) figurent, la valeur maximum du compte, le nom de tous les gestionnaires de relations clients, ou conseiller-clients ou tout individu ou entité, agissant en ces qualités, associés à ce compte, et toutes les informations concernantles montants entrants et sortants. Le « Muster/Template » versé en cause par PERSONNE1.) et le courrier de la société SOCIETE1.) du 23 avril 2018 établissent les données que la société SOCIETE1.) était disposée à transférer aux autorités judiciaires américaines, même si ces données sont des données pseudonymisées. Il n’y a dès lors pas lieu d’enjoindre à l’intimée de communiquer l’intégralité des annexes de la décision d’injonction du 14 juillet 2014 de l’ACD à savoir «le questionnaire anglais de la demande d’information des autorités américaines» et le formulaire «Exhibit A» y mentionnés sur base de l’article 280 du Nouveau Code de procédure civile puisque ces pièces ne sont, au vu de ce qui précède, pas nécessaires en ce qui concerne ce point du litige. C’est à juste titre que PERSONNE1.) fait valoir qu’il importe peu de savoir à qui les opérations effectuées sur le compte profitent et que la seule question à laquelle il convient de répondre est si ces opérations permettent d’identifier directement ou indirectement les personnes physiques. Pour identifier un individu,il suffit en effet de disposer, au vu de ce qui précède, d’informations complémentaires et même si celles-ci sont détenues par un tiers, une telle circonstance n’apparaît pas de natureà exclure la qualification en données personnelles. PERSONNE1.) est le bénéficiaire économique et effectif de la société SOCIETE2.). Tant les informations relatives à l’ouverture, au fonctionnement et à la clôture des comptes ouverts au nom de la personnemorale sont susceptibles d’identifier la personne physique. Elles constituent des données à caractère personnel protégées. S’il est en outre certes vrai comme le fait valoir la société SOCIETE1.) que ni le droit des sociétés ni le droit contractuel luxembourgeois ne connaissent aujourd’hui la notion de «bénéficiaire économique» et aucun traitement favorisé n’est réservé (par la loi) aux droits que peut tenter de faire valoir la personne «qui, en dernier lieu, possède ou contrôle[…] [la]personne physique pour laquelle une transaction est exécutée ou une activité réalisée» si elle n’est pas elle-même (de manière directe) partie au contrat, à l’activité ou à la société en question, la qualité de bénéficiaire effectif de PERSONNE1.) de la société SOCIETE2.) constitue une donnée personnelle à PERSONNE1.) couverte par la protection des données personnelles puisqu’il bénéficie de l’activité économique de la société. Le tribunal a ajouté à bon droit qu’il en va de même de toute autre information permettant d’identifier PERSONNE1.) (détention d’une part du capital social ou pouvoir de signature). La Cour d’appel ne saurait dès lors se rallier au raisonnement des juges de première instance selon lequel les informations relatives à l’ouverture, au

18 fonctionnement, et à la clôture de ces comptes ouverts au nom d’une personne morale en l’occurrence de la société SOCIETE2.) ne bénéficient d’aucune protection au titre de la protection des données. L’ensemble des données des comptes nos NUMERO3.) et NUMERO4.), ouvertsau nom de la société SOCIETE2.) et dont PERSONNE1.) est le bénéficiaire économique sont dès lors à considérer comme constitutives de données personnelles à PERSONNE1.). Il n’y a dès lors pas lieu de surseoir à statuer en attendant le résultat d’une question préjudicielle à poser à la Cour de Justice de l’Union européenne énoncée ci avant qui, est dénuée de fondement. PERSONNE1.) demande, par réformation du jugement entrepris, d’étendre la protection au compte bancaire ouvert au nom de SOCIETE3.) dont il dit être le bénéficiaire économique. Il est admis en cause que la qualité de bénéficiaire économique de la société SOCIETE3.) appartient à PERSONNE2.) et à PERSONNE3.). Il est aussi admis en cause que la société SOCIETE1.) a indiqué lors de la procédure en Suisse que quatre relations bancaires permettent d’identifier PERSONNE1.). L’indication de PERSONNE2.) et de PERSONNE3.) comme bénéficiaires économiques permet dès lors incontestablement d’identifier PERSONNE1.) via son fils et son ex-femme. Les données personnelles relatives de ces personnes sont constitutives de données personnelles de à PERSONNE1.), alors qu’elles permettent de l’identifier. Il n’y a dès lors pasnon plus lieu de surseoir à statuer en attendant le résultat d’une question préjudicielle à poser à cet égard à la Cour de Justice de l’Union européenne, cette question étant dénuée de fondement. PERSONNE1.) peut dès lors bénéficier d’une protection de ses données personnelles par rapport à la société SOCIETE3.) pour toute information permettant de l’identifier. Il en va ainsi également en ce qui concerne les informations relatives à l’ouverture, au fonctionnement et à la clôture du compte ouvert au nom de la société SOCIETE3.) qui bénéficient également, au vu de ce qui précède, de la protection au titre des données personnelles. Il suit de ce qui précède qu’il convient d’interdire, par réformation du jugement entrepris, à la société SOCIETE1.) de transférer toutes les données bancaires en sa possession à une quelconque autorité américaine, dont le DOJ, relatives aux conventions bancaires suivantes : -le compte bancaire, portant le numéro n° NUMERO3.), ouvert en date du 10 octobre 2001, au nom de la société SOCIETE2.), dont PERSONNE1.) est le bénéficiaire économique,

19 -le compte bancaire, ouvert en date du 21 septembre 2005, portant le numéro n° NUMERO4.), au nom de la société SOCIETE2.), dont PERSONNE1.) est le bénéficiaire économique, -le compte bancaire,ouvert en date du 11 mai 2003, au nom de la société SOCIETE3.) dont PERSONNE2.) et PERSONNE3.) sont les bénéficiaires économiques. Le jugement n’est pas entrepris en ce qu’il a dit que la société SOCIETE1.) n’établissait pas pouvoir se prévaloir d’une dérogation à la protection des données personnelles. C’est ensuite, par une motivation des juges de première instance à laquelle la Cour d’appel se rallie, en ce qui concerne le principe, le montant et les modalités d’une astreinte, qu’il convient d’assortir toutes les interdictions prononcées à charge de la société SOCIETE1.) d’une astreinte de 100.000 EUR pour chaque contravention. PERSONNE1.) soutient qu’au vu de la violation de l’injonction judiciaire émise par l’arrêt de la Cour d’appel du 6 mai 2020 interdisant à la société SOCIETE1.) de transmettre ses données personnelles aux autorités américaines, l’astreinte devrait être liquidée. Il sollicite, dans le cadre de présente procédure, de liquider l’astreinte prévue par l’arrêt de la Cour d’appel du 6 mai 2020 et de condamner la société SOCIETE1.) au paiement de l’astreinte de 100.000 EUR par contravention. Afin de lui permettrede chiffrer le montant de la condamnation, il demande d’enjoindre à la société SOCIETE1.) de lui communiquer l’intégralité des données transmises aux autorités américaines directement ou indirectement au sujet des relations bancaires litigieuses ainsi quela réponse qu’elle a donnée à la demande de renseignement de l’ACD. L’appelant demande d’assortir la production forcée de ces pièces d’une astreinte de 100.000 EUR par jour de retard. La société SOCIETE1.) conclut à l’incompétence de la Cour d’appel pour connaître de cette demande. Elle en soulève l’irrecevabilité pour être une demande nouvelle en instance d’appel. En outre subsidiaire, la société SOCIETE1.) estime que la demande n’est pas fondée. Elle s’oppose à la communication forcée des pièces sollicitées par PERSONNE1.). Il convient d’abord de constater que PERSONNE1.) demande à la Cour d’appel de confirmer les injonctions de l’arrêt de référé de la Cour d’appel du 6 mai 2020 et d’interdire à la société SOCIETE1.) de transférer toutes les données bancaires le concernant directement ou indirectement à une quelconque autorité américaine. Il demande, en même temps, la liquidation de l’astreinte prononcée par l’arrêt du 6 mai 2020 au motif que les interdictions prononcées par l’arrêt du 6 mai 2020 cet arrêt auraient été violées par la société SOCIETE1.).

20 Aux termes de l’article 2059 du Code civil, le juge peut, à la demande d’une partie, condamner l’autre partie, pour le cas où il ne serait pas satisfait à la condamnation principale, au paiement d’une somme d’argent, dénommée astreinte, le tout sans préjudice des dommages et intérêts s’il y a lieu. Selon l’article 2062 du Code civil, l’astreinte, une fois encourue, reste intégralement acquise à la partie qui a obtenu la condamnation. Cette partie peut enpoursuivre le recouvrement en vertu du titre même qui la prévoit. L’article 2063 du Code civil, reprenant l’article 4 de la loi uniforme BENELUX, dispose que: «Le juge qui a ordonné l'astreinte peut en prononcer la suppression, en suspendre le coursdurant le délai qu'il indique ou la réduire, à la demande du condamné, si celui-ci est dans l'impossibilité définitive ou temporaire, totale ou partielle de satisfaire à la condamnation principale.» L’astreinte ne peut être supprimée, modifiée ou réduiteque par le juge qui l’a ordonnée. Il s’agit d’une compétence exclusive (C.J. Benelux 25 septembre 1986). Suivant la Cour de Justice Benelux: «Il suit[…]que l’exigibilité de l’astreinte a pour fondement le jugement qui prononce celle-ci et qu’en vertu de ce jugement, lorsqu’après sa signification, les conditions qu’elle précise sont réunies, l’astreinte est due intégralement et est susceptible d’exécution forcée sans qu’il soit besoin d’un nouveau jugement.» L’astreinte a un caractère définitif, donc ne doit, et ne doit donc, contrairement au droit français, pas faire, antérieurement à son exécution, l’objet d’une liquidation dans le cadre de laquelle un juge serait appelé à en apprécier à nouveau l’opportunité et les effets. Elle ne peut, en principe, pas être remise en cause après qu’elle a été prononcée. Il n’y a pas lieu de distinguer entre astreinte provisoire et astreinte définitive, toutes les astreintes étant définitives. L’exigibilité de l’astreinte a pour fondement la décisionjudiciaire qui la prononce, et lorsqu’après signification de celle-ci, les conditions qu’elle précise sont réunies, l’astreinte est due intégralement-les termes «astreinte encourue» étant synonymes de «astreinte due» et elle peut être recouvrée sansqu’une nouvelle décision judiciaire soit nécessaire. La Cour d'appel de céans est partant incompétente pour connaître de la demande en liquidation de l’astreinte prononcée par l’arrêt du 6 mai 2020. La demande forcée en production de pièces devient ainsisans objet.

21 PERSONNE1.) réclame le remboursement de frais d’avocats d’un montant de 60.207,77 EUR. Si conformément à l’arrêt de la Cour de cassation du 9 février 2012(cass. 9 février 2012, n° 2881 du registre), les frais et honoraires d’avocat peuvent donner lieu à indemnisation sur base de la responsabilité civile de droit commun en dehors de l’indemnité de procédure, PERSONNE1.) reste en défaut de justifier la réalité de son préjudice par la production de notes d’honoraires acquittées, de sorte qu’ilest, et ce conformément aux conclusions de la société SOCIETE1.), à débouter de sa demande. Au vu de l’issue du litige, c’est à bon que la société SOCIETE1.) a été condamnée au paiement d’une indemnité de procédure en première instance. Pour l’instance d’appel, elle est à débouter de sa demande basée sur l’article 240 du Nouveau Code de procédure civile tandis qu’il convient d’allouer à PERSONNE1.) une indemnité de procédure de 2.500 EUR. PAR CES MOTIFS laCour d’appel, deuxième chambre, siégeant en matière civile, statuant contradictoirement, reçoit les appels principal et incidents, déclare les appels incidents non fondés, déclare l’appel principal partiellement fondé, réformant interdità la société de droitsuisse SOCIETE1.) de transférer les données bancaires personnelles de PERSONNE1.) en sa possession à quiconque et plus particulièrement à une quelconque autorité américaine, dont le DOJ, relatives aux conventions bancaires suivantes: -le compte bancaire portant le numéro NUMERO3.), ouvert le 10 octobre 2001, au nom de SOCIETE2.), -le compte bancaire portant le numéro NUMERO4.), ouvert le 21 septembre 2005 au nom de la société SOCIETE2.), -le compte bancaire, ouvert le 11 mai 2003, aunom de la société SOCIETE3.),

22 le tout sous peine d’une astreinte de 100.000 EUR par contravention (par donnée transférée), fixe le maximum de l’astreinte à 1.000.000 EUR, confirme le jugement du 7 octobre 2020 pour le surplus sauf en ce qui concerne les frais, se déclare incompétente pour connaître de la demande en liquidation de l’astreinte prononcée par l’arrêt du 6 mai 2020, dit sans objet la demande en production de pièces forcée, ditnon fondée la demande en remboursement de frais et honoraires présentée par PERSONNE1.), condamne la société de droitsuisse SOCIETE1.) à payer à PERSONNE1.) une indemnité de procédure de 2.500 euros pour l’instance d’appel, déboute la société de droitsuisse SOCIETE1.) de sa demande en obtention d’une indemnité de procédure pour l’instance d’appel, fait masse des frais et des dépens et les impose pour ¾ à la société de droit suisse SOCIETE1.) et pour ¼ à PERSONNE1.). La lecture du présentarrêt a été faite en la susdite audience publique par Danielle SCHWEITZER, président de chambre,en présence du greffier Alexandra NICOLAS.