A. S. a été victime d'un accident de plongée en 2003, au lac X., sur la commune de Y. Le lac est situé à plus de 2'500 mètres d'altitude. L'accident s'est déroulé dans le cadre d'une sortie organisée par deux clubs de plongée de la région et à laquelle participait une trentaine de plongeurs. Sur le site, S. a proposé à E. de plonger avec lui. Ce dernier a accepté, en précisant qu'il avait l'intention de plonger profondément et pour une longue durée, soit plus d'une heure. Les deux hommes ne se connaissaient pas, mais S. savait que E. était expérimenté et qu'il avait l'habitude de plonger à de grandes profondeurs. S. est titulaire du brevet de plongeur trois étoiles (P***) délivré à l'époque par la Fédération suisse de sports subaquatiques (FSSS), par l'intermédiaire de sa commission technique (aujourd'hui: CMAS.CH). E. est pour sa part moniteur de plongée deux étoiles (M**) CMAS.CH/FSSS.

A 13h30 environ, les deux plongeurs se sont immergés. Aucun d'entre eux n'avait effectué auparavant de contrôle précis du matériel de son partenaire. E. était le plus expérimenté et a naturellement pris la direction du binôme. Selon S., sa lampe de plongée s'est mise à présenter des signes de faiblesse et à clignoter à une profondeur de 50 mètres, raison pour laquelle les deux plongeurs ont pris la décision d'entamer une remontée. E. a précisé, pour sa part, que l'incident était survenu à une profondeur de 40 mètres environ, mais que les deux plongeurs avaient "glissé" involontairement à -50 mètres pendant qu'ils faisaient demi-tour. Les deux plongeurs ont atteint la profondeur maximale de leur plongée(-50.9 mètres) après 15 minutes d'immersion. La visibilité y était réduite.

Rapidement après le début de la remontée, à une profondeur de 45 mètres environ, le détendeur utilisé par S. s'est mis en débit continu, très vraisemblablement en raison d'un phénomène de givrage. S. a pris en bouche son deuxième détendeur et a averti son compagnon selon la procédure habituelle, à savoir en lui tendant à bout de bras le détendeur qui fuyait. E. lui est passé derrière et, par erreur, n'a pas fermé le robinet d'alimentation de ce détendeur, mais celui du détendeur sur lequel S. respirait. Celui-ci s'est trouvé privé d'air et a avalé un peu d'eau, avant de saisir le second détendeur de E. Pendant cette manoeuvre, après 17 minutes de plongée, il a entamé une remontée incontrôlée, d'une profondeur de 44 mètres jusqu'à la surface, en une minute environ. E. l'a suivi en tentant sans succès de freiner la remontée. Arrivé en surface, S. n'a pas réussi à s'immerger à nouveau pour effectuer des paliers de décompression. E. l'a tracté vers la rive et l'a confié à d'autres plongeurs venus à la rescousse, puis à des personnes restées à terre pour assurer la sécurité. Il a ensuite replongé pour effectuer des paliers de décompression. Avant d'atteindre la rive, S. a perdu connaissance. Il a été placé sous oxygène pur et transporté par hélicoptère à l'Hôpital Z. Les médecins y ont constaté des lésions du cerveau et de la moelle épinière en raison d'une décompression incontrôlée lors de la remontée en surface. S. souffre depuis lors d'une tétraplégie incomplète, en ce sens qu'il ne bouge pratiquement pas les jambes et qu'il est limité dans l'utilisation des membres supérieurs.

La Caisse nationale suisse d'assurance en cas d'accidents (CNA) a pris en charge le traitement médical et alloué des indemnités journalières. Par décision du 11 décembre 2003, elle a toutefois réduit de 50 % ses prestations en espèces, au motif que l'accident résultait d'une entreprise téméraire. Selon elle, les risques qu'avait pris l'assuré en plongeant à une profondeur de plus de 40 mètres étaient trop élevés pour être entièrement couverts par l'assurance-accidents. Elle a maintenu ce point de vue par décision sur opposition du 7 juillet 2004.

B. S. a recouru devant le Tribunal des assurances du canton de Vaud. Celui-ci a confié à M., membre du Bureau de prévention des accidents de plongée (BAP), le soin de réaliser une expertise en vue de déterminer le déroulement exact de l'accident, ses causes et le niveau de risque pris par les deux plongeurs. L'expert a établi un rapport le 28 février 2006 et un rapport complémentaire le 15 novembre suivant. Parmi les causes de l'accident, il a mentionné que E. avait fermé par erreur le robinet d'alimentation du détendeur sur lequel respirait S., provoquant une réaction de panique de ce dernier et une remontée beaucoup trop rapide en surface. Il était par ailleurs difficile de préciser si un même incident aurait eu des conséquences semblables lors d'une plongée à une profondeur maximale de 40 mètres.

Par jugement du 19 février 2007, le Tribunal des assurances du canton de Vaud a rejeté le recours.

C. S. interjette un recours en matière de droit public contre ce jugement, dont il demande l'annulation. Il conclut, principalement, à ce que l'intimée soit condamnée à lui allouer des prestations en espèces non réduites, et subsidiairement, au renvoi de la cause à la juridiction cantonale pour complément d'instruction et nouveau jugement, sous suite de dépens. L'intimée conclut au rejet du recours, alors que l'Office fédéral de la santé publique a renoncé à se déterminer.

En cours de procédure, le recourant a produit un jugement rendu le 4 juin 2007 par le Tribunal des districts de V. et W. Ce jugement condamne E. à 40 heures de travail d'intérêt général, avec sursis pendant deux ans, pour lésions corporelles graves par négligence (art. 125 al. 2 CP). Sur le plan civil, il reconnaît E. responsable du préjudice subi par S., mais constate toutefois une faute concomitante du lésé, justifiant de réduire d'un quart l'indemnité mise à la charge du responsable principal. La fixation du montant exact des dommages-intérêts a été renvoyée au for civil. Ce jugement a fait l'objet d'un appel de E. et d'un appel joint du ministère public.

Le 20 décembre 2007, le Tribunal fédéral a invité le recourant à produire une expertise établie le 28 avril 2005 à la demande du Juge d'instruction pénale de U. par C., brigadier au Service de la navigation de la gendarmerie de T., et à laquelle le mémoire de recours ainsi que le jugement pénal du 4 juin 2007 se référaient largement. L'intimée a renoncé à se déterminer sur ces nouvelles pièces.

3.1 Aux termes de l'art. 37 al. 2 LAA (RS 832.20), si l'assuré a provoqué l'accident par une négligence grave, les indemnités journalières versées pendant les deux premières années qui suivent l'accident sont, en dérogation à l'art. 21 al. 1 LPGA (RS 830.1), réduites dans l'assurance des accidents non professionnels. La réduction ne peut toutefois excéder la moitié du montant des prestations lorsque l'assuré doit, au moment de l'accident, pourvoir à l'entretien de proches auxquels son décès ouvrirait le droit à des rentes de survivants.

Constitue une négligence grave la violation des règles élémentaires de prudence que toute personne raisonnable eût observées dans la même situation et les mêmes circonstances, pour éviter les conséquences dommageables prévisibles dans le cours ordinaire des choses (ATF 118 V 305 consid. 2a p. 306; FRÉSARD/MOSER-SZELESS, L'assurance-accidents obligatoire, in Schweizerisches Bundesverwaltungsrecht [SBVR], Soziale Sicherheit, 2^e éd., Bâle 2006, n. 303 p. 933).

3.2.1 L'art. 39 LAA habilite le Conseil fédéral à désigner les dangers extraordinaires et les entreprises téméraires qui motivent dans l'assurance des accidents non professionnels le refus de toutes les prestations ou la réduction des prestations en espèces. La réglementation des cas de refus ou de réduction peut déroger à l'art. 21 al. 1 à 3 LPGA. Fondé sur cette norme de délégation de compétence, l'art. 50 al. 1 OLAA (RS 832.202) prévoit qu'en cas d'accidents non professionnels dus à une entreprise téméraire, les prestations en espèces sont réduites de moitié; elles sont refusées dans les cas particulièrement graves. Les entreprises téméraires sont celles par lesquelles l'assuré s'expose à un danger particulièrement grave sans prendre de mesures destinées à ramener celui-ci à des proportions raisonnables ou sans pouvoir prendre de telles mesures. Toutefois, le sauvetage d'une personne est couvert par l'assurance même s'il peut être considéré comme une entreprise téméraire (art. 50 al. 2 OLAA).

3.2.2 La jurisprudence qualifie d'entreprises téméraires absolues celles qui, indépendamment de l'instruction, de la préparation, de l'équipement et des aptitudes de l'assuré, comportent des risques particulièrement importants, même si elles sont pratiquées dans les conditions les moins défavorables. Il en va de même des activités risquées dont la pratique ne répond à aucun intérêt digne de protection (SVR 2007 UV n° 4 p. 10, consid. 2.1, U 122/06). Tel est le cas, par exemple, de la participation à une course automobile de côte ou en circuit (ATF 113 V 222; ATF 112 V 44), à une compétition de motocross (RAMA 1991 n° U 127 p. 221, U 5/90), à un combat de boxe ou de boxe thaï (ATFA 1962 p. 280; RAMA 2005 n° U 552 p. 306, U 336/04), ou encore, faute de tout intérêt digne de protection, de l'action de briser un verre en le serrant dans sa main (SVR 2007 UV n° 4 p. 10, consid. 2.1, U 122/06).

3.2.3 D'autres activités non dénuées d'intérêt comportent des risques élevés, qui peuvent être limités, toutefois, à un niveau admissible si l'assuré remplit certaines exigences sur le plan des aptitudes personnelles, du caractère et de la préparation. A défaut, l'activité est qualifiée de téméraire et l'assurance-accidents est en droit de réduire ses prestations conformément aux art. 39 LAA et 50 OLAA. On parle dans ce cas d'une entreprise téméraire relative, en ce sens que le refus ou la réduction des prestations dépend du point de savoir si l'assuré était apte à l'exercer et a pris les précautions nécessaires pour limiter les risques à un niveau admissible. Peuvent constituer des entreprises téméraires relatives le canyoning (ATF 125 V 312), la plongée, y compris la plongée spéléologique dans une source (ATF 96 V 101), l'alpinisme et la varappe (ATF 97 V 72, 86), ou encore le vol delta (ATF 104 V 19). Selon le degré de difficulté et le niveau de risque dans un cas particulier, il n'est pas exclu de qualifier l'une ou l'autre de ces activités d'entreprise téméraire absolue (cf. SVR 2007 UV n° 4 p. 10, consid. 2.2, U 122/06).

3.2.4 Si les conditions d'une réduction ou d'une suppression des prestations pour entreprise téméraire ne sont pas remplies, une réduction peut néanmoins être prononcée en vertu de l'art. 37 al. 2 LAA. A l'inverse, si les conditions d'application de l'art. 37 al. 2 LAA et celles de l'art. 39 LAA sont remplies pour un même acte, c'est l'art. 39 LAA qui s'applique, à titre de lex specialis (FRÉSARD/MOSER-SZELESS, op. cit., n. 331 p. 938 s.; GABRIELA RIEMER-KAFKA, Die Pflicht zur Selbstverantwortung, Leistungskürzungen und Leistungsverweigerungen zufolge Verletzung der Schadensverhütungs- und Schadensminderungspflicht im schweizerischen Sozialversicherungsrecht, thèse d'habilitation Fribourg 1999, p. 385 s.; ALEXANDRA RUMO-JUNGO, Die Leistungskürzung oder -verweigerung gemäss Art. 37-39 UVG, thèse Fribourg 1993, p. 287).

4.1 La juridiction cantonale a appliqué les art. 39 LAA et 50 OLAA en considérant, notamment, que le recourant avait gravement porté atteinte à sa propre sécurité en remontant à la surface d'une profondeur de près de 40 mètres sans effectuer de paliers de décompression. Toujours d'après les premiers juges, l'assuré a cédé à la panique. Il s'agissait d'une réaction prévisible qu'il aurait dû anticiper, de manière à garder son calme et à remonter de manière contrôlée.

4.2 Le point de savoir si la remontée abrupte du recourant était volontaire, éventuellement sous l'effet de la panique, ou si elle résulte plutôt d'une perte de contrôle de sa flottabilité par le recourant n'est pas clairement établi. L'expertise M. accrédite la thèse d'un accès de panique. Pour sa part, l'expert F. semble avoir considéré qu'une perte de contrôle de sa flottabilité, par l'assuré, était plus vraisemblable. Cet expert a exposé que l'équipement de l'assuré (vêtement et gilet de compensation) comportait un gros volume de flottabilité et qu'un plongeur qui se fait gagner par l'augmentation de volume provoquée par un début de remontée rapide peut avoir beaucoup de peine à maîtriser sa vitesse de remontée. Cette question de fait n'est toutefois pas déterminante. En effet, dans les deux cas, la remontée abrupte de l'assuré ne justifie pas, comme telle, une réduction des prestations en application de l'art. 39 LAA. Si le recourant a cédé à la panique, comme l'ont retenu les premiers juges, et a cherché à sauver sa vie en faisant surface immédiatement, il s'agit d'une tentative de sauvetage au sens de l'art. 50 al. 2, 2^e phrase, OLAA; aussi inadéquate fût-elle, cette tentative ne saurait, comme telle, entraîner une réduction des prestations pour entreprise téméraire (cf. arrêt du Tribunal fédéral des assurances U 421/00 du 7 mai 2002, consid. 2a et 3d, ZBJV 142/2006 p. 732/REAS 2002 p. 307; RUMO-JUNGO, op. cit., p. 300). Si, au contraire, l'assuré a simplement perdu le contrôle de sa flottabilité, comme l'a retenu le Tribunal des districts de V. et W., sa remontée n'était pas téméraire, puisqu'involontaire. Dans les deux cas, seule une réduction des prestations pour négligence grave pourrait entrer en considération, dans les limites posées par l'art. 37 al. 2 LAA.

Avant d'envisager l'application de cette disposition, il convient toutefois de déterminer si la plongée entreprise par l'assuré n'était pas déjà en soi un acte téméraire absolu ou relatif. Une éventuelle négligence commise par l'assuré en cours de plongée est sans pertinence pour trancher cette question.

5.1 L'expert M. a exposé qu'une plongée à une profondeur de 30 mètres ou plus peut entraîner un phénomène d'ivresse des profondeurs. Celui-ci se manifeste notamment sous la forme d'une euphorie, d'un sentiment trompeur de confiance en soi, ainsi que de difficultés de concentration. La sensibilité à ce phénomène peut varier d'un plongeur à l'autre et n'apparaître pour certains plongeurs qu'à une profondeur plus importante. Dès 70 mètres, les symptômes sont ressentis par pratiquement tous les plongeurs. Leurs effets peuvent être limités par l'entraînement. L'expert M. a, par ailleurs, précisé que le risque de givrage d'un détendeur augmentait avec la profondeur de plongée en raison de la densité plus importante de l'air passant au travers. Il a également dressé une liste d'autres critères entrant en considération pour évaluer les risques pris par un plongeur dans un cas particulier, notamment la formation de l'intéressé, son entraînement, le mélange gazeux utilisé, la durée de la plongée et l'environnement dans lequel elle se déroule. Il en conclut qu'il n'est pas adéquat de qualifier de téméraire une plongée pour le seul motif qu'elle serait effectuée à une profondeur supérieure à 40 mètres. Enfin, l'expert M. a précisé que lors d'une plongée en altitude, il est nécessaire d'adapter les paliers de décompression à la faible pression atmosphérique en surface, par rapport au niveau de la mer. Les ordinateurs de plongée permettent d'en tenir compte.

L'expert F., pour sa part, a exposé que l'omission d'effectuer des paliers de décompression est plus dangereuse en altitude qu'en plaine. La différence de pression fond-surface est plus grande en montagne qu'au niveau de la mer, ce qui nécessite des paliers de décompression plus importants pour un même profil de plongée (durée et profondeur). De ce point de vue, une profondeur de plongée de 51 mètres, pour un lac situé à 2'540 mètres d'altitude, équivaut à une plongée à -68 mètres en mer.

5.2 Compte tenu de ces précisions, il n'est pas exclu de qualifier d'entreprise téméraire absolue la plongée effectuée par le recourant. Les risques qu'un incident survienne sous l'eau (givrage d'un détendeur, en particulier) ou qu'un plongeur réagisse de manière inadéquate en raison d'un phénomène d'ivresse des profondeurs sont plus importants lors d'une plongée profonde. Surtout, un accident de décompression est beaucoup plus probable en cas de remontée abrupte à la suite d'un incident lors d'une plongée profonde, dans un lac d'altitude, que lors d'une plongée dans des conditions plus ordinaires. Il convient toutefois de laisser la question ouverte, d'autant qu'il n'est pas clairement établi si les deux plongeurs ont "glissé" involontairement de -40 mètres jusqu'à près de -51 mètres, comme l'a déclaré E., ou s'ils ont délibérément atteint la profondeur maximale de 50.9 mètres. Quoi qu'il en soit, en effet, le recourant n'a pas pris toutes les mesures nécessaires pour limiter raisonnablement les risques auxquels il s'exposait, ce qui justifie une réduction des prestations en raison d'une entreprise téméraire relative, comme exposé ci-après (consid. 5.3).

5.3 Les experts F. et M. ont tous deux considéré que S. et E. avaient les connaissances, l'entraînement et l'expérience nécessaires pour plonger à une grande profondeur et dans un lac de montagne. En ce qui concerne la préparation de la plongée, en revanche, ils ont mis en évidence certaines lacunes. L'expert F., en particulier, a exposé qu'une discussion sérieuse relative aux paramètres de la plongée envisagée (parcours, profondeur, séjour au fond et paliers de décompression envisagés), éventuellement un bref rappel des procédures d'urgence à appliquer en cas d'incident tel qu'un givrage d'un détendeur n'ont pas eu lieu. Ces démarches auraient été d'autant plus appropriées que les deux plongeurs ne se connaissaient pas. Toujours d'après l'expert F., les "us et coutumes" veulent qu'avant d'entreprendre des plongées profondes et pour des durées demandant de longues décompressions, les plongeurs "fassent connaissance" et plongent quelquefois ensemble à moindre profondeur afin de s'habituer l'un à l'autre. Enfin, S. et E. auraient chacun dû suivre une procédure de contrôle, en surface, pour s'assurer de connaître le matériel utilisé par son partenaire. Pour sa part, l'expert M. a mentionné plusieurs facteurs qui ont pu contribuer à l'erreur commise par E. à la suite du givrage du détendeur de S., parmi lesquels le contrôle insuffisant, en surface, du matériel utilisé par ce dernier.

Il ressort de ces observations que les préparatifs de S. et E. avant l'immersion n'étaient pas suffisants, compte tenu du type de plongée qu'ils entendaient effectuer, pour ramener les risques qu'ils prenaient à un niveau raisonnable. En particulier, ils ont omis de suivre une procédure de contrôle réciproque du matériel utilisé.

6.1 Le recourant soutient que son partenaire de plongée a commis plusieurs erreurs grossières qui ont interrompu tout lien de causalité entre l'entreprise téméraire qui lui est reprochée et l'accident. Ainsi, E. n'a pas fermé le robinet d'alimentation d'air du détendeur qui fusait, mais celui du détendeur sur lequel respirait S. Cette méprise résulte elle-même du fait que E. n'a pas suivi le tuyau du détendeur qui fusait en formant autour une boucle avec les doigts, de manière à fermer à coup sûr le bon robinet d'alimentation en air. Les experts M. et F. ont exposé qu'il s'agissait de la procédure adéquate en cas d'incident tel qu'un détendeur givré. Enfin, E. n'a rien fait pour gérer le gilet de son partenaire en difficulté et le purger, de manière à éviter une remontée incontrôlée. Sans ces erreurs, l'accident ne se serait pas produit, de sorte qu'il eût même été préférable pour le recourant qu'il plongeât seul.

6.2 La réduction des prestations au titre des art. 39 LAA et 50 OLAA implique notamment un rapport de causalité adéquate entre l'accident et l'entreprise téméraire. Il faut que cette dernière soit de nature, selon le cours ordinaire des choses et l'expérience générale de la vie, à entraîner ou favoriser un résultat du genre de celui qui s'est produit (RUMO-JUNGO, op. cit., p. 303; FRANZ ERNI, Sportunfälle - zwischen Prävention und Kürzung, in Riemer-Kafka [éd.], Sport und Versicherung, Zurich/Bâle/Genève 2007, p. 140). Lorsque l'entreprise téméraire a contribué de manière notable à l'accident, la faute d'un tiers ou une autre cause concomitante ne sont généralement pas de nature à interrompre le rapport de causalité adéquate. Il n'en va différemment - l'enchaînement des faits perdant alors sa portée juridique - que si une autre cause concomitante, telle que le fait d'un tiers, constitue une circonstance tout à fait exceptionnelle ou apparaît si extraordinaire que l'on ne pouvait pas s'y attendre. L'imprévisibilité d'un acte concurrent doit en outre revêtir une importance telle qu'elle s'impose comme la cause la plus probable et la plus immédiate de l'événement considéré, reléguant à l'arrière-plan tous les autres facteurs qui ont contribué à l'amener et notamment le comportement de l'auteur (ATF 133 V 14 consid. 10.2 p. 23; ATF 133 IV 158 consid. 6.1 p. 168).

6.3 Comme on l'a vu (consid. 5.3 ci-avant), l'expert M. a exposé que l'absence de procédure de contrôle réciproque de leur matériel par les deux plongeurs avait pu contribuer à l'erreur commise par E. Il a également précisé qu'en principe, un plongeur de l'expérience de S. ou de E. doit pouvoir attendre de son partenaire qu'il ferme le bon robinet d'alimentation en air en cas de givrage d'un détendeur; l'expérience enseigne toutefois que de telles erreurs ne sont pas rares.

L'expert F. a souligné que l'équipement de plongée utilisé par S. présentait une configuration de type "spéléologie", dans laquelle beaucoup de tuyaux sont présents sur un espace relativement restreint (trois tuyaux par détendeur, soit six au total, alors que l'équipement plus classique utilisé par E. n'en comportait que deux par détendeur, soit quatre au total [déclarations de E. à la police cantonale, le 7 septembre 2003]). Il a constaté, par ailleurs, que la position et la disposition de la robinetterie et des détendeurs de S. pouvaient prêter à confusion: la spirale jaune entourant le tuyau moyenne pression de l'un des détendeurs n'avait pas la même longueur que ce tuyau, dont une extrémité était noire (comme celle de l'autre détendeur); le gilet pouvait en outre perturber la poursuite du bon tuyau. Ces particularités ont pu contribuer, avec d'autres facteurs tels qu'une visibilité restreinte en profondeur, les effets de la narcose à l'azote (ivresse des profondeurs), à l'erreur commise par E. Toujours d'après l'expert F., une identification plus claire, mais surtout une explication détaillée lors du contrôle du matériel en surface, auraient peut-être permis d'éviter la confusion lors de la fermeture d'une vanne.

Il ressort de ces observations que la fermeture, par erreur, de l'alimentation en air du détendeur sur lequel respirait S., ne constitue pas une circonstance à ce point extraordinaire et imprévisible qu'elle exclurait tout lien de causalité adéquate entre l'entreprise téméraire et l'accident. Par ailleurs, savoir si le recourant aurait pu surmonter sans dommage le givrage d'un détendeur s'il s'était trouvé seul n'est pas déterminant. En l'occurrence, le recourant n'a pas plongé seul, mais avec un partenaire. Ce dernier a tenté de fermer le robinet d'alimentation en air du détendeur qui fuyait. Les experts ont exposé que cette manoeuvre était en principe adéquate, mais comportait certains risques d'erreur, d'autant que l'ivresse des profondeurs pouvait réduire la capacité de concentration des plongeurs. Un contrôle réciproque avant la plongée, de manière à ce que chacun ait bien en tête la configuration du matériel de son partenaire, voire un bref rappel des procédures d'urgence, sont de nature à réduire la probabilité d'une telle erreur, surtout si les deux plongeurs n'ont pas l'habitude de collaborer l'un avec l'autre, comme en l'espèce. Dans cette mesure, la méprise de E. a certes constitué un facteur déterminant dans la survenance de l'accident, mais n'était pas sans rapport avec l'entreprise téméraire relative reprochée au recourant.

Quant à l'omission de purger le gilet du plongeur en difficulté, il est douteux qu'elle puisse être reprochée à E. Rien au dossier n'indique qu'une telle manoeuvre était encore possible, après que S. avait entamé sa brusque remontée. Ce défaut d'assistance ne serait pas, de toute façon, de nature à interrompre le rapport de causalité adéquate litigieux.

7. Vu ce qui précède, l'intimée a réduit à juste titre ses prestations en espèce, à raison de 50 %, au motif que l'assuré avait provoqué l'accident par une entreprise téméraire. L'expertise complémentaire demandée par le recourant en vue de déterminer à partir de quelle profondeur les risques d'une plongée ne peuvent plus être réduits à un niveau raisonnable n'est pas nécessaire, dès lors qu'il n'a pas pris, quoi qu'il en soit, toutes les mesures appropriées pour réduire le risque autant que possible.

Le recourant voit ses conclusions rejetées et supportera les frais de justice ainsi que ses propres frais de défense (art. 66 al. 1 et art. 68 al. 1 LTF). En qualité d'organisation chargée de tâches de droit public, l'intimée ne peut prétendre de dépens (art. 68 al. 3 LTF).