A.

A.a Le 18 mars 2014, l'Office central des affaires fiscales étrangères de l'Administration fiscale norvégienne (ci-après: l'autorité requérante) a adressé à l'Administration fédérale des contributions (ci-après: l'Administration fédérale) une demande d'assistance administrative internationale qui contenait les numéros de neuf cartes de paiement ("payment cards") dont les titulaires étaient inconnus.

Cette démarche s'inscrivait dans un projet intitulé "Project International Money Transactions", qui visait à s'assurer que les contribuables norvégiens payaient correctement les impôts dus sur leurs revenus et fortune à l'étranger. Dans ce contexte, le fisc norvégien avait obtenu des informations sur les transactions réalisées sur le territoire norvégien au moyen de cartes de crédit étrangères, comprenant les numéros des cartes ainsi que l'identité de l'émetteur de cartes ou de la banque. Il avait dès lors réussi à identifier certains de leurs titulaires grâce aux transactions qu'ils avaient effectuées sur internet, car celles-ci requéraient une identification. En revanche, lorsque les cartes étaient utilisées dans des automates ATM ou que leur utilisation exigeait la fourniture d'un code PIN, le fisc norvégien ne pouvait découvrir l'identité de leurs titulaires. Or, dans la mesure où les cartes avaient été utilisées dans une même région du pays sur une longue période, il était probable que ces titulaires étaient ou devaient être des résidents fiscaux norvégiens dont on pouvait soupçonner qu'ils n'avaient pas rempli leurs obligations fiscales de manière complète. Après avoir indiqué que toutes les sources possibles de renseignements en Norvège avaient été épuisées, l'autorité requérante demandait l'assistance administrative de la Suisse pour obtenir l'identité des titulaires des neuf cartes de paiement listées en annexe à la demande, celle des éventuels ayants droit du compte lié à chaque carte, ainsi que les relevés bancaires des comptes pour la période du 1^er janvier 2011 au 28 février 2014. La demande contenait en annexe le nom des trois entités émettrices des cartes, toutes établies en Suisse, dont Y. (ci-après: la Société).

A.b Pour chacune des neuf cartes de paiement figurant dans la demande, l'autorité requérante a notamment spécifié la date à laquelle la carte avait été utilisée pour la dernière fois en Norvège et il en ressort que la date la plus récente est le 31 décembre 2013 (art. 105 al. 2 LTF). L'Administration fédérale a demandé des précisions au fisc norvégien concernant la pertinence vraisemblable des renseignements demandés pour les mois de janvier et février 2014 (art. 105 al. 2 LTF). Le dossier ne comprend pas de réponse des autorités norvégiennes.

A.c Déférant à une ordonnance de production du 13 mai 2014 de l'Administration fédérale, par laquelle celle-ci lui demandait des informations sur certaines cartes de paiement pour la période du 1^er janvier 2011 au 31 décembre 2013, la Société lui a transmis le 15 mai 2014 des extraits de compte au nom de X., ainsi que l'identité de la banque auprès de laquelle le compte client était ouvert, à savoir la Banque Z. SA (ci-après: la Banque).

Le 4 décembre 2014, l'Administration fédérale a adressé à la Banque une ordonnance de production en vue d'obtenir les informations bancaires requises concernant X. pour la période du 1^er janvier 2011 au 31 décembre 2013. La Banque a transmis ces informations le 23 décembre 2014.

Le 11 février 2015, l'Administration fédérale a informé X. de la teneur des informations qu'elle entendait communiquer à l'autorité requérante. Le 18 mars 2015, l'intéressée a indiqué qu'elle s'opposait à toute transmission d'informations la concernant.

B. Par décision finale du 1^er juin 2015, l'Administration fédérale a accordé l'assistance administrative à la Norvège et décidé de transmettre à l'autorité requérante les informations suivantes:

- The cardholder of the travel cash card n° [ ] (numéro non reproduit dans l'arrêt) is X., domiciled at [ ] (adresse non reproduite dans l'arrêt).

- No other person than X. has a right of disposal on the account related to the above-mentioned travel cash card as well as a right of signature.

- The bank account statements of the bank account linked to the above-mentioned travel cash card for the period of 28 January 2011 (account opening date) to 31 December 2013 will be transmitted to the Norwegian competent authorities.

X. a interjeté recours contre cette décision auprès du Tribunal administratif fédéral en concluant, principalement, à l'annulation de la décision du 1^er juin 2015, subsidiairement, à ce que l'assistance administrative soit limitée à la transmission du montant total des versements effectués.

Par arrêt du 27 juin 2016, le Tribunal administratif fédéral a admis le recours et annulé la décision du 1 ^er juin 2015 de l'Administration fédérale. En substance, il a jugé que la demande d'assistance du 18 mars 2014 devait être rejetée, car elle n'identifiait pas les personnes qu'elle visait au moyen de leur nom et de leur adresse.

C. A l'encontre de l'arrêt du 27 juin 2016, l'Administration fédérale interjette un recours en matière de droit public au Tribunal fédéral en concluant, sous suite de frais, principalement, à l'annulation de l'arrêt attaqué et à la confirmation de sa décision finale du 1^er juin 2015; subsidiairement, à l'annulation de l'arrêt attaqué et au renvoi de la cause au Tribunal administratif fédéral pour nouvel examen dans le sens des considérants.

Le Tribunal administratif fédéral a déclaré renoncer à prendre position. X. s'est déterminée sur le recours. Elle s'en est remise à justice quant à sa recevabilité et a conclu, au fond, à son rejet et à la confirmation de l'arrêt attaqué.

La II^e Cour de droit public a délibéré sur le présent recours en séance publique le 1^er septembre 2017.

3. Pour déterminer la portée de l'échange de lettres des 15 mai/13 juin 2012, il est nécessaire de rappeler en premier lieu la manière dont a été successivement réglé l'échange de renseignements en matière fiscale entre la Suisse et la Norvège.

3.1 Après la décision du Conseil fédéral du 13 mars 2009 d'appliquer désormais le standard de l'art. 26 du Modèle de Convention fiscale OCDE concernant le revenu et la fortune (ci-après: MC OCDE) dans les conventions de double imposition (cf. sur ce point ATF 142 II 161 consid. 4.3 p. 174; ATF 141 II 436 consid. 4.4.1 p. 443), la Suisse et la Norvège ont décidé d'entamer des négociations en vue de compléter en ce sens la Convention de double imposition les liant, qui avait été conclue en 1987 et qui avait été modifiée par Protocole du 12 avril 2005 (RO 2006 237). Les négociations ont abouti à la conclusion d'un Protocole de modification du 31 août 2009 (RO 2011 197; ci-après: le Protocole 2009), qui a introduit à son chiffre V un nouvel art. 26 sur l'échange de renseignements, reprenant le standard de l'OCDE. L'art. 26 par. 1 CDI CH-NO tel que modifié par le Protocole 2009 est libellé comme suit:

"Les autorités compétentes des Etats contractants échangent les renseignements vraisemblablement pertinents pour appliquer les dispositions de la présente Convention ou pour l'administration ou l'application de la législation interne relative aux impôts visés par la Convention, dans la mesure où l'imposition qu'elle prévoit n'est pas contraire à la Convention. L'échange de renseignements n'est pas restreint par l'art. 1."

Cette disposition s'applique aux années fiscales commençant le 1^er janvier 2011 (cf. art. VII ch. 2 let. c du Protocole 2009).

Les conditions qu'une demande de renseignements doit concrètement remplir ont été convenues dans un échange de lettres intervenu le 31 août 2009 entre les gouvernements des deux Etats contractants (ci-après: Echange de lettres 2009). Cet accord a été annexé au Protocole 2009. Il prévoit que l'Etat requérant doit avoir épuisé au préalable les sources habituelles de renseignements prévues par sa procédure fiscale interne avant de présenter la demande de renseignements (ch. 1; principe de la subsidiarité), prohibe les pêches aux renseignements (ch. 2) et mentionne sous ch. 3 les différentes informations que l'Etat requérant doit fournir en ces termes:

"Il est entendu que les autorités fiscales de l'Etat requérant fournissent les informations suivantes aux autorités fiscales de l'Etat requis lorsqu'elles présentent une demande de renseignements selon l'art. 26 de la Convention:

a) le nom et l'adresse de la ou des personnes visées par le contrôle ou l'enquête et, si disponibles, les autres éléments qui facilitent l'identification de cette ou de ces personnes, comme la date de naissance, l'état civil ou le numéro d'identification fiscale;

b) la période visée par la demande;

c) une description des renseignements demandés y compris de leur nature et de la forme selon laquelle l'Etat requérant désire recevoir les renseignements de l'Etat requis;

d) l'objectif fiscal qui fonde la demande;

e) le nom et l'adresse de toute personne présumée être en possession des renseignements requis."

Le Protocole 2009 et l'Echange de lettres 2009 ont été approuvés par l'Assemblée fédérale le 18 juin 2010 (art. 1 al. 1 de l'arrêté fédéral portant approbation d'un protocole modifiant la Convention entre la Suisse et la Norvège contre les doubles impositions et de l'échange de lettres y afférent; RO 2011 195). Ils ont été publiés au Recueil officiel et sont entrés en vigueur le 22 décembre 2010 (RO 2011 197 et 201).

3.2 Le 15 février 2011, le Conseil fédéral a annoncé qu'afin de passer avec succès la première phase de l'examen par les pairs du Forum mondial sur la transparence et l'échange de renseignements à des fins fiscales, il avait décidé de faire évoluer la politique d'assistance administrative en matière fiscale de la Suisse en ce sens que l'identification des personnes visées par une demande d'assistance administrative devait pouvoir être établie par d'autres moyens que par le nom et l'adresse (cf. communiqué de presse du Département fédéral des finances du 15 février 2011, consultable à l'adresse www.efd.admin.ch > Documentation > Communiqués du DFF). Dans ce but, le Conseil fédéral a soumis à l'Assemblée fédérale des projets d'arrêtés fédéraux complémentaires pour les conventions qui, comme la CDI CH-NO, avaient déjà été approuvées par l'Assemblée fédérale le 18 juin 2010 (Message du 6 avril 2011 sur le complément aux conventions en vue d'éviter les doubles impositions approuvées par l'Assemblée fédérale le 18 juin 2010, FF 2011 3530 ch. 3.3). Le Conseil fédéral précisait que si l'Assemblée approuvait préalablement une telle clause, elle n'aurait plus besoin de l'approuver ultérieurement (FF 2011 3531 ch. 4.1).

Le 23 décembre 2011, l'Assemblée fédérale a approuvé l'arrêté fédéral complémentaire proposé en vue de modifier la CDI CH-NO (RO 2012 6531). Ce texte prévoit notamment ce qui suit:

"1. Le Département fédéral des finances est habilité à convenir avec la Norvège, en complément à la Convention du 7 septembre 1987 (...), la règle suivante concernant l'échange de renseignements en matière d'impôts: Aux fins de l'application, le but de la référence aux renseignements «vraisemblablement pertinents» est de garantir un échange de renseignements en matière fiscale aussi étendu que possible, sans permettre aux Etats contractants d'aller à la «pêche aux renseignements» ou de demander des renseignements dont la pertinence concernant les affaires fiscales d'un contribuable précis est douteuse. (...).

2. La Suisse donne suite à une demande d'assistance administrative fondée sur une convention contre les doubles impositions contenant une règle correspondant à l'al. 1, lorsqu'il en ressort qu'il ne s'agit pas d'une «pêche aux renseignements», et que la Norvège:

a) identifie le contribuable, cette identification pouvant être établie par d'autres moyens que le nom et l'adresse;

b) indique, dans la mesure où elle en a connaissance, le nom et l'adresse du détenteur présumé des renseignements."

Cet arrêté fédéral était sujet au référendum facultatif prévu par l'art. 141 al. 1 let. d ch. 3 Cst. (cf. art. 2 de l'arrêté).

Le délai référendaire a expiré le 13 avril 2012 sans avoir été utilisé. Dès lors, le Conseil fédéral et le Gouvernement norvégien ont procédé à un nouvel échange de lettres les 15 mai et 13 juin 2012 (ci-après: Echange de lettres 2012), qui prévoit que:

"2. Conformément à la règle d'interprétation, il convient de donner suite à une demande d'assistance administrative, si l'Etat qui présente la demande

a) identifie la personne visée par le contrôle ou l'enquête, cette identification pouvant être établie par d'autres moyens que le nom et l'adresse; et

b) indique, dans la mesure où il en a connaissance, le nom et l'adresse du détenteur présumé des renseignements;

pour autant que la demande ne constitue pas une "pêche aux renseignements".

Les parties précisent que leur échange de lettres constitue "un accord entre nos deux gouvernements (...) qui s'applique à partir de la date d'entrée en vigueur du protocole modifiant la convention signé à Oslo le 31 août 2009".

L'Echange de lettres 2012 est entré en vigueur le 27 juillet 2012 et a été publié au Recueil officiel (RO 2012 4221). Au recueil systématique, il figurait sous la même cote que la CDI CH-NO.

3.3 Le 4 septembre 2015, les Etats contractants ont conclu un nouveau Protocole (ci-après: Protocole 2015). Entré en vigueur le 6 décembre 2016 (RO 2016 5295), il modifie plusieurs dispositions de la Convention, dont l'art. 26 (cf. art. IV du Protocole 2015). Un nouveau paragraphe 5 contenant les exigences qu'une demande d'assistance administrative doit remplir est par ailleurs ajouté au Protocole à la Convention (cf. art. VI du Protocole 2015), en conséquence de quoi les Echanges de lettres 2009 et 2012 ne s'appliquent plus (cf. art. V du Protocole 2015). Les art. IV, V et VI du Protocole 2015 régissant les renseignements relatifs aux années fiscales commençant le 1^er janvier 2017 (cf. art. VII par. 2 let. b du Protocole 2015), ils ne concernent donc pas la demande d'assistance administrative litigieuse, qui reste soumise au Protocole 2009 et aux échanges de lettres déterminants.

4. Les juges précédents contestent que les règles d'identification des personnes visées prévues par l'Echange de lettres 2012 soient applicables à la demande d'assistance administrative du 18 mars 2014, l'Echange de lettres 2009 entrant seul en ligne de compte selon eux, ce que critique la recourante.

4.1 Pour appuyer leur position, ils relèvent d'abord que la version publiée au recueil systématique de l'Echange de lettres 2012 mentionne qu'il a été approuvé par l'Assemblée fédérale, alors qu'on peut à tout le moins se demander comment ladite Assemblée aurait pu approuver cet Echange de lettres avant qu'il ait lieu" (arrêt attaqué consid. 5.4.2). L'existence de l'arrêté fédéral complémentaire du 23 décembre 2011 (cf. supra consid. 3.2) ne changerait rien à cette conclusion, car cet arrêté ne pourrait constituer une base légale valable pour l'assistance administrative (arrêt attaqué, eo loco). Au demeurant, cet arrêté fédéral ne ferait qu'autoriser l'Administration fédérale à faire en sorte "d'obtenir la reconnaissance mutuelle de l'interprétation présentée dans cet arrêté", étant rappelé que ladite interprétation ne peut aller au-delà du cadre posé par l'art. 26 CDI CH-NO (arrêt attaqué consid. 5.4.3).

4.1.1 Selon la jurisprudence, un accord amiable convenu entre les administrations des deux Etats parties à une convention de double imposition et qui, du point de vue suisse, a été conclu par l'administration, sur délégation expresse de l'Assemblée fédérale, contenue dans un arrêté fédéral soumis au référendum facultatif, doit être pris en compte pour interpréter la convention (ATF 143 II 136 consid. 5.3.3 p. 151). Dans cette affaire, qui concernait une demande d'assistance administrative groupée (sans indication de noms) provenant des Pays-Bas, le Tribunal fédéral a ainsi jugé que l'accord amiable qui avait été conclu par l'Administration fédérale et le gouvernement néerlandais sur habilitation expresse de l'Assemblée fédérale contenue dans un arrêté fédéral soumis à référendum, et qui prévoyait que l'identification des personnes visées par une demande pouvait être établie par d'autres moyens que par le nom et l'adresse, devait être pris en compte pour interpréter la clause d'échange de renseignements prévue par la convention et son protocole, ces trois documents constituant une unité pour l'interprétation (consid. 5.3.2 p. 149 s.). L'assistance administrative était partant autorisée avec les Pays-Bas même sans identification au moyen du nom et de l'adresse (consid. 5.4 p. 152).

4.1.2 En l'espèce, un accord a été conclu entre le Conseil fédéral et le Gouvernement norvégien par l'Echange de lettres 2012. Cet accord est intervenu, du point de vue suisse, sur habilitation expresse de l'Assemblée fédérale, contenue dans l'arrêté fédéral du 23 décembre 2011. Cet arrêté a été soumis au référendum facultatif. La règle d'identification qu'il prévoit reprend la formulation figurant dans l'arrêté fédéral (reproduite ci-dessus sous consid. 3.2) et respecte donc parfaitement le cadre de l'habilitation donnée par l'Assemblée fédérale. Il s'ensuit que, conformément à la jurisprudence établie dans l' ATF 143 II 136, l'Echange de lettres 2012 doit être pris en compte pour établir le contenu de la clause d'échange d'informations figurant dans la CDI CH-NO.

Contester, comme le font les juges précédents, que l'Echange de lettres 2012 ait été approuvé par l'Assemblée fédérale pour le motif qu'aucune approbation a posteriori n'est intervenue, procède d'une interprétation formaliste, parce qu'elle fait abstraction des circonstances qui viennent d'être exposées et qui expliquent les raisons pour lesquelles la procédure s'est déroulée par habilitation anticipée de l'Assemblée fédérale et non par approbation. Cette procédure est certes inhabituelle, mais l'on ne voit pas en quoi elle serait contraire au droit et justifierait de faire perdre toute portée à la volonté claire exprimée par l'Assemblée fédérale dans son arrêté complémentaire du 23 décembre 2011.

4.2 Les juges précédents font également valoir que l'Echange de lettres 2012 n'a pas de portée juridique en tant qu'il s'écarte de l'Echange de lettres 2009.

4.2.1 Ces deux échanges de lettres conclus entre les gouvernements suisse et norvégien constituent des accords internationaux (ATF 122 II 140 consid. 2 p. 141). Les principes contenus dans la Convention de Vienne du 23 mai 1969 sur le droit des traités (RS 0.111; ci-après: CV) leur sont donc applicables (ATF 142 II 161 p. 167l, ATF 142 II 218 consid. 3.3 p. 228).

Aux termes de l'art. 26 CV, tout traité en vigueur lie les parties et doit être exécuté par elles de bonne foi. Le principe de la bonne foi impose ici de la loyauté de la part de l'Etat contractant dans l'exécution de ses obligations. Celui-ci doit partant proscrire tout comportement qui aboutirait à éluder ses engagements internationaux ou à détourner le traité de son sens et de son but (ATF 143 II 224 consid. 6.3 p. 229 s.; ATF 142 II 161 consid. 2.1.3 p. 167). L'art. 31 par. 1 CV prévoit par ailleurs qu'un traité doit être interprété de bonne foi suivant le sens ordinaire à attribuer aux termes du traité dans leur contexte et à la lumière de son objet et de son but. L'objet et le but du traité correspondent à ce que les parties voulaient atteindre par le traité (cf. ATF 143 II 136 consid. 5.2.2 p. 148 s.; ATF 142 II 161 consid. 2.1.3 p. 167; ATF 141 III 495 consid. 3.5.1 p. 503). En plus du contexte (cf. art. 31 par. 2 CV), la CV prévoit qu'il sera tenu compte pour l'interprétation, notamment, de tout accord ultérieur intervenu entre les parties au sujet de l'interprétation du traité ou de l'application de ses dispositions (cf. art. 31 par. 3 let. a CV).

Le point de savoir si les Echanges de lettres 2009 et 2012 constituent des "accords" au sens de l'art. 31 par. 3 let. a CV ou des "traités" au sens de cette même disposition importe peu, puisque, dans un cas comme dans l'autre, la règle "Pacta sunt servanda" de l'art. 26 CV et la règle générale d'interprétation de l'art. 31 par. 1 CV ont vocation à s'appliquer (cf. aussi ATF 122 II 140 consid. 2 p. 141).

4.2.2 Enfin, au plan interne, il faut souligner que la conclusion et la ratification des traités internationaux est de la compétence du Conseil fédéral, qui les soumet, sauf exceptions, à l'approbation de l'Assemblée fédérale (art. 166 al. 2 et 184 al. 2 Cst.). Lorsque le Conseil fédéral décide d'adopter une certaine politique internationale en matière fiscale, comme tel a été le cas en mars 2009 (adoption du standard de l'art. 26 MC OCDE), puis en février 2011 (possibilité d'identifier les personnes autrement que par le nom et l'adresse) en matière d'assistance administrative, et que l'Assemblée fédérale donne son accord avec cette politique, soit en adoptant un projet d'arrêté fédéral que le Conseil fédéral lui soumet pour approuver le traité international qu'il a signé en ce sens, soit, comme c'est le cas dans le contexte particulier du cas d'espèce, en habilitant à l'avance l'administration fédérale à conclure un accord international dans le cadre qu'elle a défini, les traités qui en découlent lient le Tribunal fédéral et les autres autorités en vertu de l'art. 190 Cst.

4.2.3 En l'espèce, la clause d'échange de renseignements prévue à l'art. 26 CDI CH-NO dans sa version ressortant du Protocole 2009 a fait l'objet de deux échanges de lettres successifs, en 2009 et en 2012. Le premier échange de lettres prévoit l'ensemble des conditions qu'une demande doit remplir, parmi lesquelles figurent l'identification de la personne visée et du détenteur de renseignements, qui doit, dans les deux cas, intervenir au moyen de la fourniture du nom et de l'adresse. Le second échange de lettres a uniquement pour objet de modifier les règles d'identification de la personne visée et celles du détenteur de renseignements, l'identification de la personne visée pouvant désormais être établie par d'autres moyens que le nom et l'adresse, alors que la fourniture du nom et de l'adresse du détenteur de renseignements n'est requise que dans la mesure où l'Etat requérant en a connaissance.

L'Echange de lettres 2012 contient donc une règle claire, selon laquelle les personnes visées par une demande d'assistance administrative peuvent être identifiées autrement que par leur nom et leur adresse. La conclusion est la même lorsque l'on examine l'Echange de lettres 2012 à la lumière de son objet et de son but. Il est en effet manifeste, au vu de la chronologie rappelée ci-dessus (consid. 3.1 et 3.2), que ce que les Etats contractants voulaient atteindre par cet accord est la possibilité d'identifier la ou des personnes visées par une demande d'assistance administrative par d'autres moyens que par leur nom et leur adresse, contrairement à ce qui prévalait dans le régime de l'Echange de lettres 2009.

4.2.4 Au vu de ce qui précède, c'est à juste titre que la recourante soutient que les juges précédents ont faussement appliqué les règles d'interprétation du droit des traités en considérant que l'Echange de lettres 2012 ne s'appliquait pas en tant qu'il sortait du cadre défini par l'Echange de lettres 2009 s'agissant des règles d'identification. Sur le plan international, le fait de refuser d'appliquer l'Echange de lettres 2012 contrairement à la volonté clairement exprimée par les Etats contractants aurait pour conséquence de faire apparaître la Suisse comme un Etat qui élude les engagements qu'il a pris, en violation de l'art. 26 CV. Sur le plan interne, un tel refus d'appliquer un accord qui a été voulu par le Conseil fédéral et autorisé par l'Assemblée fédérale dans un acte soumis à référendum consacrerait une violation de l'art. 190 Cst., disposition qui lie le Tribunal fédéral autant que le Tribunal administratif fédéral.

4.3 Il convient encore de préciser que l'Echange de lettres 2012 s'applique à la demande d'assistance litigieuse, puisque celle-ci a été formée le 18 mars 2014, soit après l'entrée en vigueur de cet acte, et ce même si ladite demande tend à l'obtention de renseignements portant sur la période allant du 1^er janvier 2011 au 28 février 2014.

En effet, les dispositions qui régissent l'assistance administrative, par exemple celles qui prévoient le contenu de la demande, sont par nature procédurales. Les conventions de double imposition posent des règles qui fixent les exigences matérielles de cette procédure, alors que le droit interne sert à en concrétiser l'exécution en Suisse. C'est en ce sens qu'il faut comprendre la formulation utilisée par la jurisprudence selon laquelle la LAAF a le caractère de loi d'exécution de nature procédurale (cf. ATF 143 II 224 consid. 6.1 p. 228, ATF 143 II 136 consid. 4.1-4.4 p. 142 ss; ATF 139 II 404 consid. 1.1 p. 408; arrêt 2C_792/2016 du 23 août 2017 consid. 2.2, non publié in ATF 143 II 506). Il n'en demeure pas moins que, tant la LAAF que les dispositions régissant l'assistance administrative qui figurent dans les CDI fixent des règles de procédure qui partant, sauf disposition contraire, sont d'application immédiate (cf. ATF 123 II 134 consid. 5b/bb p. 139; ATF 112 Ib 576 consid. 2 p. 584 et les références; arrêts 2A.185/2003 du 27 janvier 2004 consid. 2, traduit in RDAF 2004 II p. 10; 2A.250/2001 du 6 février 2002 consid. 3, in Pra 2002 52 p. 283), peu importe que les périodes fiscales visées par les demandes soient antérieures à l'entrée en vigueur des règles de procédure.

A cet égard, il ne faut pas confondre l'applicabilité immédiate des règles procédurales régissant la demande d'assistance administrative fixées dans une CDI, avec la question des périodes fiscales visées par ladite demande. Les règles de procédure nouvelles de la CDI s'appliquent aussi lorsque les demandes portent sur des périodes fiscales antérieures à leur entrée en vigueur (arrêts 2A.185/2003 précité; 2A.233/2003 du 22 décembre 2003 consid. 1, in RF 59/2004 p. 475, traduit in RDAF 2004 II p. 1; 2A.551/2001 du 12 avril 2002 consid. 2, traduit in RDAF 2002 II p. 303; 2A.250/2001 du 6 février 2002 consid. 3, in StE 2002 A 31.4 Nr. 6; cf. aussi arrêt de la Cour européenne des droits de l'homme GSB contre Suisse du 22 décembre 2015, requête n° 28601/11, § 39 et 78). Les Etats peuvent toutefois prévoir des limites aux périodes fiscales susceptibles d'être visées et il est fréquemment stipulé dans les CDI les périodes fiscales à partir desquelles les demandes d'assistance peuvent porter (cf. DANIEL HOLENSTEIN, in Kommentar zum Schweizerischen Steuerrecht, Internationales Steuerrecht, 2015, n° 213 ad art. 26 OECD MA). C'est ce qu'a fait la Suisse, qui a inclus dans les CDI postérieures à 2009 une clause fixant la limite à l'année qui suit l'entrée en vigueur de la CDI en question (XAVIER OBERSON, in Modèle de la Convention fiscale OCDE concernant le revenu et la fortune, Commentaire, 2014, n° 73 ad art. 26 MC OCDE). En l'occurrence, c'est ce qui a été fait entre la Suisse et la Norvège, dès lors qu'il est prévu que l'échange de renseignements selon l'art. 26 CDI CH-NO s'applique, conformément à l'art. VII ch. 2 let. c du Protocole 2009, aux renseignements concernant les années fiscales commençant le 1^er janvier 2011. Cette règle n'a pas été modifiée lorsque les Etats contractants ont décidé de permettre désormais l'identification des personnes par d'autres moyens que le nom ou l'adresse. Il en découle que l'Echange de lettres 2012 entre en ligne de compte pour examiner la transmissibilité de l'ensemble des renseignements requis dans la demande d'assistance administrative litigieuse, qui concernent la période allant du 1^er janvier 2011 au 28 février 2014.

4.4 Encore faut-il se demander si la demande d'assistance litigieuse est conforme aux exigences fixées dans l'Echange de lettre 2012. Celle-ci fournit le numéro de neuf cartes de crédit et l'identité des entités émettrices des cartes, toutes établies en Suisse. Par ces éléments, l'autorité requérante a identifié les contribuables qu'elle visait, par d'autres moyens que le nom et l'adresse, de manière conforme au ch. 2 let. a de l'Echange de lettres 2012. Le fait que la demande concerne plusieurs personnes n'est pas problématique, la jurisprudence ayant déjà admis qu'une demande d'assistance administrative pouvait viser collectivement plusieurs contribuables (cf. arrêt 2C_893/2015 du 16 février 2017 consid. 12.1, non publié in ATF 143 II 202 mais in StE 2017 A 31.2 Nr. 14 et in RDAF 2017 II p. 336).

Si la demande norvégienne mentionne le nom des entités suisses émettrices des cartes de crédit, elle ne fournit pas le nom et l'adresse du détenteur présumé des renseignements. Cette information n'est toutefois pas requise selon le ch. 2 let. b de l'Echange de lettres 2012. Il apparaît par ailleurs que la demande d'assistance administrative a été formée dans le respect du principe de la subsidiarité prévu au ch. 1 de l'Echange de lettres 2009, dès lors qu'il n'y a aucune raison de remettre en cause les explications de l'autorité requérante sur ce point (cf. arrêt 2C_904/2015 du 8 décembre 2016 consid. 7.2). L'intimée ne soutient du reste pas le contraire. Les renseignements destinés à être transmis remplissent - et l'intimée ne le conteste pas non plus - la condition de la pertinence vraisemblable, s'agissant de résidents fiscaux norvégiens présumés (art. 26 par. 1 CDI CH-NO; sur le caractère transmissible d'informations sur l'identité des ayants droit économiques et des relevés bancaires, cf. au surplus ATF 142 II 161 consid. 4.6.2 p. 181; arrêt 2C_963/2014 du 24 septembre 2015 consid. 6, non publié in ATF 141 II 436 mais in Archives 84 p. 559 et traduit in RDAF 2016 II p. 374; arrêt 2C_527/2015 du 3 juin 2016 consid. 5.2). Enfin, l'intimée ne conteste pas non plus que l'autorité requérante a fourni les informations requises par le ch. 3 let. b à d de l'Echange de lettres 2009, à savoir qu'elle a précisé la période fiscale visée et qu'elle a décrit les renseignements requis ainsi que l'objectif fiscal fondant la demande. Il s'ensuit que la demande d'assistance administrative litigieuse visant l'intimée remplit toutes les conditions formelles et matérielles requises.

5. Il reste à déterminer si, comme le soutient l'intimée, l'assistance doit néanmoins être refusée au motif que la demande constitue une pêche aux renseignements inadmissible, car elle serait formulée de manière trop abstraite et impersonnelle.

5.1 L'Echange de lettres 2012 réserve l'existence d'une pêche aux renseignements, sans définir cette notion, qu'il convient donc de circonscrire dans le contexte spécifique du cas d'espèce.

La question de la pêche aux renseignements a été examinée dans l'arrêt publié sous ATF 143 II 136, rendu dans le contexte d'une demande d'assistance administrative visant toutes les personnes physiques, inconnues des autorités fiscales de l'Etat requérant, qui étaient titulaires d'un compte auprès d'une banque suisse et qui n'avaient pas fourni à cette dernière la preuve de leur conformité fiscale dans l'Etat requérant. Cette demande, qui concernait ainsi un nombre indéterminé de personnes, identifiables au moyen d'un comportement décrit par l'Etat requérant, a été qualifiée de demande groupée et non pas de pêche aux renseignements inadmissible.

L'on ne se trouve certes pas dans le cas d'une demande groupée en l'espèce, puisque la demande d'assistance administrative norvégienne vise un nombre déterminé de personnes, identifiées au moyen de leur numéro de carte de crédit, ce qui relève davantage d'une demande collective (cf. consid. 4.4 ci-dessus). Il n'en demeure pas moins que, comme dans une demande groupée, la demande litigieuse ne fournit ni le nom ni l'adresse des personnes qu'elle vise, et que la possibilité d'accorder l'assistance administrative dans une telle situation dépend d'abord de l'existence d'un accord qui le prévoit spécifiquement (par exemple, l'accord amiable du 31 octobre 2011 dans le cas de la CDI conclue avec les Pays-Bas [RO 2012 4079] dans le contexte de l' ATF 143 II 136, et l'Echange de lettres 2012 dans le cas d'espèce). Sous cet angle, la distinction entre demande groupée et demande (collective) identifiant des personnes autrement que par le nom et l'adresse apparaît ténue. Dans ces circonstances, il se justifie, par souci de cohérence, de recourir aux critères que le Tribunal fédéral a développés dans l' ATF 143 II 136 pour déterminer si la demande d'assistance litigieuse constitue ou non une pêche aux renseignements prohibée.

5.2 Dans cet arrêt, le Tribunal fédéral a retenu, après avoir reproduit de larges passages relevants du Commentaire OCDE du MC OCDE dans sa version du 12 juillet 2012, qu'une demande d'assistance administrative doit remplir trois conditions pour constituer une demande groupée admissible. Premièrement, elle doit fournir une description détaillée du groupe, qui expose les faits et les circonstances spécifiques ayant conduit à la formulation de la demande. Deuxièmement, elle doit exposer le droit fiscal applicable ainsi que les motifs permettant de supposer que les contribuables du groupe n'auraient pas rempli leurs obligations fiscales. Troisièmement, elle doit démontrer que les renseignements demandés sont propres à faire en sorte que ces obligations soient remplies (cf. consid. 6.1.2 p. 154 ss).

L'arrêt reproduit aussi l'exemple 8.f figurant dans le Commentaire OCDE, qui est relevant pour l'examen du cas d'espèce (cf. consid. 6.1.2 p. 155):

"8. f) L'Etat A a obtenu des renseignements sur toutes les transactions impliquant des cartes de crédit étrangères qui ont été réalisées sur son territoire durant une certaine année. L'Etat A a traité les données et lancé une enquête qui a identifié tous les numéros de cartes de crédit par rapport auxquels la fréquence et la configuration des transactions et le type d'utilisation au cours de cette année suggèrent que les titulaires étaient des résidents fiscaux de l'Etat A. L'Etat A ne peut obtenir les noms de ces personnes par le biais des sources habituelles de renseignements prévues par sa procédure fiscale interne, les informations pertinentes n'étant pas en possession ou sous le contrôle de personnes se trouvant dans sa juridiction. Les numéros de cartes de crédit identifient l'un des émetteurs de ces cartes comme étant la Banque B située dans l'Etat B. En se basant sur une investigation ou enquête en cours, l'Etat A envoie une demande de renseignements à l'Etat B, demandant le nom, l'adresse et la date de naissance des titulaires des cartes spécifiques identifiées durant son enquête et de toute autre personne ayant un pouvoir de signature sur ces cartes. L'Etat A fournit les numéros des cartes bancaires spécifiques concernées ainsi que les informations précisées ci-dessus afin de démontrer la pertinence vraisemblable des renseignements demandés pour son enquête et, plus généralement, pour l'administration et l'application de sa législation fiscale."

5.3 L' ATF 143 II 136 retient en outre que l'art. 2 al. 1 de l'ordonnance administrative internationale en matière fiscale dans sa version du 20 août 2014 (aOAAF; RO 2014 2753, correspondant à l'actuel art. 3 al. 1 OAAF qui l'a remplacée à partir du 1^er janvier 2017 [RS 651.11]) est applicable, dans la mesure où il concrétise les règles de droit international relatives aux demandes groupées (cf. ATF 143 II 136 consid. 6.2 p. 157 s.). Selon cette disposition, une demande groupée doit contenir les informations suivantes:

"a. une description détaillée du groupe faisant l'objet de la demande ainsi que des faits et circonstances à l'origine de la demande;

b. une description des renseignements demandés et l'indication de la forme sous laquelle l'Etat requérant souhaite les recevoir;

c. le but fiscal en vue duquel ces renseignements sont demandés;

d. les raisons qui donnent à penser que les renseignements demandés sont détenus dans l'Etat requis ou sont en la possession ou sous le contrôle d'un détenteur des renseignements résidant dans cet Etat;

e. le nom et l'adresse du détenteur supposé des renseignements, dans la mesure où ils sont connus;

f. un commentaire du droit applicable;

g. une justification claire et fondée sur des faits de l'hypothèse selon laquelle les contribuables du groupe visé par la demande n'ont pas respecté le droit applicable;

h. une explication démontrant que les renseignements demandés aideraient à déterminer si le comportement des contribuables du groupe est conforme au droit;

i. dans la mesure où le détenteur des renseignements ou un autre tiers ont soutenu activement le comportement non conforme au droit des contribuables du groupe, une présentation du soutien apporté;

j. la déclaration selon laquelle la demande est conforme aux dispositions législatives et réglementaires ainsi qu'aux pratiques administratives de l'Etat requérant, de sorte que, si les renseignements demandés relevaient de la compétence de l'Etat requérant, l'autorité requérante pourrait les obtenir en vertu de son droit ou dans le cadre normal de ses pratiques administratives;

k. la déclaration précisant que l'Etat requérant a utilisé tous les moyens disponibles en vertu de sa procédure fiscale nationale."

5.4 En l'occurrence, il faut en premier lieu constater que la demande remplit les trois conditions énoncées par le Tribunal fédéral dans l' ATF 143 II 136.

D'abord, l'autorité requérante fournit une description détaillée du groupe qu'elle vise et expose les faits et les circonstances spécifiques qui ont conduit à la formulation de la demande (première condition). En effet, elle explique avoir obtenu, au terme d'une enquête, des informations sur des transactions impliquant des cartes de crédit étrangères réalisées sur territoire norvégien. Si elle ne connaissait pas le nom des titulaires des cartes, elle connaissait en revanche le numéro desdites cartes, ainsi que l'identité des entités suisses émettrices, reproduite en annexe à la demande. L'autorité requérante expose ensuite qu'elle a réussi à identifier certains titulaires de cartes grâce aux transactions qu'ils avaient effectuées sur internet et qui requéraient une identification; lorsqu'en revanche la carte était utilisée dans des automates ATM ou que son utilisation requérait la fourniture d'un code PIN, cette identification n'était pas possible. S'agissant ensuite de la deuxième condition, l'autorité requérante précise que la demande d'assistance concerne des cartes de crédit suisses qui ont été utilisées pour des transactions portant sur de gros montants, dans une même région du pays et sur une longue période, ce qui laissait supposer que leurs titulaires étaient des résidents fiscaux norvégiens qui n'avaient pas rempli leurs obligations fiscales de manière complète. Si elle n'expose pas précisément le droit fiscal applicable (en indiquant par exemple les dispositions du droit fiscal norvégien qui entrent en ligne de compte), il ressort clairement de la demande que les résidents fiscaux norvégiens doivent reporter dans leur déclaration fiscale l'ensemble de leurs revenus et de leur fortune à l'étranger ("to make sure that Norvegian taxpayers pay correct taxes for their income and fortune abroad"). Une telle mention est suffisante pour que l'on comprenne que le droit fiscal norvégien impose aux contribuables qui sont assujettis de manière illimitée à l'impôt de reporter l'ensemble de leurs revenus et de leur fortune mondiaux dans leur déclaration fiscale. Enfin, la demande d'assistance norvégienne laisse percevoir de manière suffisamment claire que les renseignements demandés, qui visent à obtenir le nom et l'adresse des titulaires des cartes et/ou des bénéficiaires économiques, ainsi que les relevés de comptes, sont propres à compléter, le cas échéant, l'assiette de l'impôt de ces contribuables. La troisième condition est partant également remplie.

A cela s'ajoute que l'état de fait présenté dans la demande est très similaire à celui qui figure dans l'exemple de demande groupée admissible présenté sous chiffre 8f du Commentaire OCDE, ce qui plaide également en faveur d'une demande collective admissible, et que la demande d'assistance administrative contient les éléments prévus à l'art. 2 al. 1 aOAAF.

5.5 C'est donc à tort que l'intimée soutient que la demande litigieuse équivalait à une pêche aux renseignements. Son grief est partant rejeté.

6. Les considérants qui précèdent conduisent à l'admission du recours. L'arrêt du Tribunal administratif fédéral du 27 juin 2016 doit être annulé et la décision finale de l'Administration fédérale du 1^er juin 2015 confirmée.