Faits : A. A.a. X._ SA (ci-après: X._ ou la banque), dont le siège est à Genève, est un établissement bancaire actif principalement dans le private bankinget la gestion d'actifs. Engagé par X._ en 1989, L._ a exercé une activité de gérant jusqu'en juillet 2012. A.b. En 2008, les autorités américaines se sont intéressées aux établissements bancaires suisses, suspectant certains d'entre eux d'avoir aidé des clients américains à éluder l'impôt américain. En 2010, les autorités américaines (soit le Ministère de la justice des États-Unis, U.S. Department of Justice [DoJ]) ont ouvert des enquêtes contre onze banques suisses qu'elles soupçonnaient d'avoir aidé des clients américains à se soustraire à leurs obligations fiscales ainsi que d'avoir contrevenu à la réglementation applicable lors des contacts intervenus avec ces clients. Elles ont requis l'entraide administrative de la Suisse en vue d'obtenir des renseignements sur les activités des banques visées aux États-Unis. Les autorités américaines ont ensuite demandé aux banques concernées de leur transmettre un certain nombre de documents complémentaires (en particulier sur les employés s'étant rendus aux États-Unis pour communiquer avec des clients américains) si elles voulaient éviter une inculpation. Le 4 avril 2012, le Conseil fédéral a autorisé les banques en cause à transmettre directement aux autorités américaines des données non anonymisées, à l'exception de celles concernant les clients. Cette décision valait autorisation, au sens de l'art. 271 CP, à procéder sur le territoire suisse pour le compte d'un État étranger à des actes relevant des pouvoirs publics. Cependant, il appartenait toujours aux banques d'effectuer une appréciation de leur responsabilité civile. Le 11 avril 2012, la FINMA a recommandé aux banques concernées de coopérer avec les autorités américaines dans le cadre prévu par le Conseil fédéral, en précisant que la procédure d'entraide administrative était, de ce fait, suspendue. A.c. Le 14 février 2013, les autorités suisses et américaines ont signé un accord visant à faciliter la mise en oeuvre par les établissements financiers suisses de la loi fiscale américaine ( Foreign Account Tax Compliance Act [FATCA]). Le Conseil fédéral a ensuite soumis au Parlement fédéral un projet de loi fédérale sur les mesures visant à faciliter le règlement du différend fiscal entre les banques suisses et les États-Unis. Le 19 juin 2013, le Parlement fédéral a refusé d'entrer en matière sur ce projet, considérant qu'il appartenait au Conseil fédéral de trouver des solutions dans le cadre du droit en vigueur. Le 3 juillet 2013, le Conseil fédéral a mis sur pied une nouvelle procédure d'autorisation individuelle au sens de l'art. 271 CP (autorisation modèle). A.d. Le 29 août 2013, le Conseil fédéral et le DoJ ont trouvé un accord visant à mettre un terme au différend fiscal entre les banques suisses et les États-Unis. Trois documents servent à concrétiser cet accord: la déclaration commune ( Joint Statement) du Conseil fédéral (Département fédéral des finances) et du DoJ, le programme volontaire américain ( Program for Swiss banks), ainsi que l'autorisation modèle du Conseil fédéral du 3 juillet 2013. En vertu du Joint Statement, le DoJ entend fournir aux banques suisses non impliquées dans une procédure pénale (autorisée par le DoJ) un moyen adapté pour clarifier leur situation ( status) en lien avec l'ensemble des enquêtes menées par le DoJ. Pour sa part, le Conseil fédéral (dans le texte: " Switzerland ") manifeste son intention d'attirer l'attention des banques suisses sur les dispositions du programme américain et de les encourager à envisager une participation. Il relève que le droit suisse en vigueur permettra aux banques suisses une participation effective selon les termes fixés dans le programme. Le programme volontaire ( Program for Swiss banks) classe les banques suisses en quatre catégories: la première catégorie, exclue du programme, s'adresse aux banques faisant l'objet d'une enquête pénale du DoJ; la deuxième catégorie, destinée aux banques qui estiment avoir violé le droit fiscal américain, permet à celles-ci de se mettre à l'abri d'une poursuite pénale en échange de leur participation, en concluant un Non-Prosecution Agreement (NPA); les catégories 3 et 4 visent les banques qui estiment ne pas avoir violé le droit fiscal américain. Selon le programme volontaire américain, les banques appartenant à la catégorie 2 doivent communiquer au DoJ le nom et la fonction des personnes ayant "structuré, géré ou supervisé les actions transfrontalières de la banque en lien avec les États-Unis" et le nom et la fonction de "toute personne, dont le gestionnaire de la relation client, le conseiller à la clientèle et gestionnaire d'actifs, ayant été en relation avec un Closed US Related Account ". Le 30 août 2013, la FINMA a rappelé aux banques qu'il appartenait à chacune d'elles d'évaluer de manière appropriée les risques juridiques et de réputation qu'entraînerait une non-participation au programme américain et d'en tenir compte dans leur processus de décision qui devra être documenté. A.e. X._ a décidé de participer au programme volontaire; le 19 décembre 2013, elle s'est annoncée auprès du DoJ comme banque de catégorie 2. Par décision du 24 janvier 2014, le Département fédéral des finances (DFF) a autorisé X._ à coopérer avec les autorités américaines. Par lettre du 24 juillet 2014, la banque a informé L._ qu'elle envisageait de communiquer aux autorités américaines une liste comportant son nom et sa fonction en lien avec une dizaine de comptes remplissant, selon elle, les conditions de Closed US Related Accounts. Par courrier du 11 août 2014, L._ s'est opposé à la communication de son nom au DoJ. Le 25 août 2014, la banque a maintenu sa décision de transmettre les données précitées et informé son ancien employé qu'il disposait d'un délai de dix jours pour déposer une demande en justice afin d'interdire la transmission des données. A.f. Le 5 septembre 2014, L._ a formé une requête de mesures provisionnelles et superprovisionnelles tendant à ce qu'il soit fait interdiction à X._ de transmettre, de communiquer ou de porter à la connaissance de tiers, notamment du DoJ, des données le concernant ou toute autre information pouvant amener un tiers à l'identifier. Par ordonnances des 5 septembre et 18 décembre 2014, le Tribunal de première instance du canton de Genève a fait droit à cette requête; un délai de trente jours a été imparti au requérant pour agir au fond. Le 6 février 2015, L._ a introduit une action en protection de la personnalité, laquelle a été déclarée irrecevable par jugement du 30 octobre 2015. A.g. Le 4 janvier 2016, soit en cours de procédure (cf. infra let. B), X._ conclura un accord de non-poursuite (NPA) avec le DoJ moyennant le paiement d'une amende de 187'767'000 USD. Dans cet accord, qui reprend les obligations du programme américain, X._ s'engage en outre à continuer à collaborer et à fournir des données aux autorités américaines pendant une période de quatre ans, à compter de la date de l'exécution complète de l'accord (" ...from the date this Agreement is fully executed. "). Le DoJ se réserve le droit d'engager des poursuites pénales contre la banque en cas de violation des termes de l'accord. Si une telle violation est constatée, le DoJ s'engage toutefois à le communiquer à X._, par une notification écrite, avant d'entamer une quelconque procédure. La banque peut alors, dans le délai de trente jours, expliquer par écrit la nature et les circonstances de la violation, ainsi que les actions prises pour y remédier. Ces explications doivent être prises en considération par le DoJ pour déterminer l'opportunité d'engager une procédure contre X._ (complètement d'office selon l'art. 105 al. 2 LTF). B. Par acte déposé le 21 avril 2016, L._ a ouvert action devant le Tribunal de première instance, concluant à ce qu'il soit fait interdiction à X._, sous la menace de la peine prévue à l'art. 292 CP, de transmettre, de communiquer ou de porter à la connaissance de tiers ou d'États tiers, notamment du DoJ, des données le concernant ou toute autre information pouvant amener un tiers à l'identifier. X._ a conclu au déboutement de L._ de sa demande. La banque a pris une conclusion subsidiaire tendant à ce que l'interdiction ne déploie d'effet qu'en relation avec le programme du DoJ et non en relation avec la transmission de données de manière générale, en particulier si elle était requise par une autorité judiciaire ou administrative suisse, notamment l'Administration fédérale des contributions (AFC). Par jugement du 7 février 2017, le Tribunal de première instance a interdit à X._ de transmettre aux autorités américaines, dans le cadre du programme américain auquel la banque participe en catégorie 2, quelque donnée que ce soit concernant L._ en rapport avec des comptes bancaires détenus chez X._, sous la menace de la peine prévue par l'art. 292 CP. Statuant le 15 août 2017 sur appel de la banque, la Chambre civile de la Cour de justice du canton de Genève a confirmé le jugement entrepris. C. X._ interjette un recours en matière civile. Elle demande au Tribunal fédéral d'annuler l'arrêt cantonal, puis de débouter L._ de toutes ses conclusions; à titre subsidiaire, elle conclut au renvoi de la cause à l'autorité précédente pour nouvelle décision au sens des considérants. L._ n'a pas été invité à se déterminer.