6B_1008/2016

Composition

MM. et Mme les Juges fédéraux Denys, Président, Jacquemoud-Rossari et Oberholzer.

Greffière : Mme Kistler Vianin.

A.________,

représentée par Me Valentin Schumacher, avocat,

recourante,

contre

1. Ministère public central du canton de Vaud,

2. X.________, représenté par

Me Eric Stauffacher, avocat,

intimés.

Objet

Homicide par négligence; arbitraire,

recours contre le jugement de la Cour d'appel pénale du Tribunal cantonal du canton de Vaud du 13 juin 2016

(n° 178 PE09.000383).

A.a. Entre 2008 et 2009, B.________ SA a fait construire à C.________ dans la zone industrielle D.________ un immeuble commercial dont la conception requerrait la pose de panneaux de verre de 5,47 m de hauteur, de 2,62 m de largeur et d'un poids de 1'100 kg, sur deux façades entières présentant une inclinaison de 23 degrés par rapport à la verticale. Cette tâche ne peut être qu'effectuée par des entreprises spécialisées au moyen d'un système de préhension de charge par le vide et d'un palonnier à contre-poids supportant ce système, le tout élevé par une grue. Le système de préhension par le vide proprement dit est normalement essentiellement composé de deux groupes de ventouses permettant la préhension et de deux agrégats " redondants " reliés par des tuyaux aux deux groupes de ventouses et à deux vannes de décharge. Ce système est fixé sur un châssis métallique.

La société E.________ SA, à F.________, qui réalisait la structure métallique de l'ouvrage, a mandaté l'entreprise G.________, à H.________, raison individuelle dont X.________ est le titulaire et qui est spécialisée dans la pose de panneaux de verre grands et lourds. L'entreprise avait déjà utilisé le système précité, qui était nécessaire à la pose de vitrages lourds inclinés ou dont le logement était difficile d'accès. Ne disposant pas du matériel nécessaire pour ce chantier, elle a loué une grue et un palonnier à contre-poids à l'entreprise I.________ AG et à l'entreprise J.________ AG un système de porte-ventouses permettant de lever 1'400 kg au maximum.

Il s'agissait d'un système porte-ventouses fabriqué par la société K.________ AG, à L.________, spécialiste en la matière, et acheté par J.________ AG en janvier 2004. Le porte-ventouse a toutefois été modifié, à savoir que les deux vannes de décharge ont été désolidarisées du châssis et les tuyaux allongés, au motif que les panneaux de verre devaient être hissés à une hauteur de plusieurs mètres. En outre, le palonnier ne comportait qu'un seul circuit et non pas deux, c'est-à-dire que les deux agrégats et les deux tuyaux aboutissant aux deux vannes de décharge ont été réunis en un seul agrégat et une seule conduite aboutissant à une seule vanne. La vanne en question, laissée " flottante ", n'était par ailleurs pas pourvue des indications " dépression " ( saugen) et " libération de charge " (  lösen) correspondant aux deux positions possibles du levier de la vanne.

En vue de l'exécution des travaux précités, G.________ a loué les services de M.________, employé de l'entreprise individuelle N.________, à O.________, également spécialisée dans la pose de vitrages lourds. X.________ et M.________ se connaissaient puisqu'ils avaient travaillé ensemble pour le compte de la société P.________. M.________ était spécialisé dans le maniement des systèmes de préhension de charge de type porte-ventouses, tel que celui utilisé sur le chantier de C.________.

X.________, responsable de la pose des panneaux en verre sur le chantier, n'avait pas exigé qu'un palonnier à deux circuits soit utilisé pour la pose des vitrages, ni que les panneaux en verre soient assurés contre les chutes au moyen d'un équipement de sécurité mécanique, comme par exemple des sangles.

A.b. Les 7 et 8 janvier 2009, X.________, ses employés, à savoir Q.________, grutier, R.________ et S.________, tous deux vitriers, et M.________ ont travaillé sur le chantier. M.________ fonctionnait comme machiniste, c'est-à-dire commandait et manipulait le système de préhension de charge de type porte-ventouses au moyen de la vanne de " dépression " et le palonnier à contre-poids mobile au moyen d'une télécommande. Quinze vitrages ont ainsi été posés, chacun effectuant toujours la même tâche.

Le 9 janvier 2009, vers 7h45, la même équipe a repris son activité. X.________ et M.________ ont appliqué les ventouses contre un premier panneau de verre. X.________ s'est rendu à l'arrière du palonnier à contrepoids, pendant que Q.________ s'occupait de la grue et que R.________ et S.________ se tenaient chacun d'un côté du vitrage pour le stabiliser. X.________ et ses employés ont alors entendu M.________ dire en suisse allemand " le levier est faux ". Après lui avoir demandé ce qu'il se passait, X.________, Q.________, R.________ et S.________ ont entendu M.________ leur répondre: " c'est en ordre ".

La manoeuvre a ainsi repris. M.________ a actionné le contrepoids du palonnier. Puis, le grutier a dégagé le panneau de verre de son support et a ensuite levé la charge pendant que R.________ et S.________ faisaient pivoter le panneau de verre pour le mettre en position verticale. M.________ est alors monté sur une échelle appuyée contre le châssis du système pour contrôler que le panneau de verre était bien bloqué en position verticale. Il est ensuite redescendu et a repassé devant le panneau de verre. A ce moment-là, X.________, Q.________, R.________ et S.________ ont vu le panneau de verre glisser lentement, toucher le sol sans se briser, rester un instant en équilibre, puis tomber sur M.________, sans que l'avertisseur acoustique prévu en cas de décompression au-delà de la valeur limite et non voulue dans les ventouses ne se déclenche. X.________ a crié à M.________, peu avant que le panneau de verre ne touche le sol " attention la vitre tombe! ". Ce dernier est cependant resté immobile et a été tué sur le coup.

B.a. Le 16 mai 2013, T.________, directeur de l'Institut U.________, architecte ETS, a déposé un rapport d'expertise.

Le spécialiste a estimé qu'il était très probable que la température ambiante au moment des faits ne soit pas en lien avec l'accident du 9 janvier 2009. En outre, comme la vitre avait pu être levée, on pouvait partir du principe qu'au moment de l'accident, il n'y avait pas de givre sur la surface du verre.

Selon l'expert, le défaut de perception, par les personnes présentes, de l'avertisseur acoustique avant l'accident permet de croire que la vanne de décharge était positionnée sur « lösen » (libérer), des pertes de vide dues à de petites voies de fuite dans le système ayant très probablement entraîné au final la chute du verre. En effet, habituellement, la vitre ne se détache immédiatement des ventouses que dans le cas où elle est fissurée ou lorsque la vanne est en position "  lösen " et que - simultanément - le bouton rouge de la machine est pressé de manière continue, déclenchant ainsi l'avertisseur acoustique. S'il n'est pas appuyé sur le bouton rouge, la position "  lösen " a pour seul effet de ne plus actionner les pompes qui génèrent le vide, ce vide étant petit à petit comblé par des infiltrations d'air, ce qui réduit progressivement l'adhérence des ventouses et permet à la vitre de glisser lentement. L'expert a conclu que la mauvaise manipulation de la vanne de décharge citée par les personnes impliquées avait eu une influence capitale dans l'accident. Les inscriptions manquantes «  lösen » (libérer) et «  saugen » (saisir) sur la vanne de décharge, ainsi que la commande non fixée de la vanne de décharge ont, selon lui, favorisé l'erreur de manipulation sur le palonnier à ventouses utilisé.

L'expert a par ailleurs constaté que l'appareil utilisé ne correspondait pas au palonnier à ventouses d'origine, tel que produit initialement par la société K.________ AG. Etant donné que l'appareil correspondait à un palonnier à un seul circuit et non pas à un palonnier à deux circuits, le mauvais positionnement de la vanne de décharge suffisait pour que la vitre se détache du palonnier à ventouses; en revanche, sur un palonnier à ventouses à deux circuits, il y a deux vannes de décharge à positionner sur « lösen » (libérer). L'expert a précisé que, dans l'hypothèse de l'utilisation d'un palonnier à un seul circuit, les verres devaient être assurés contre les chutes au moyen d'un équipement de sécurité mécanique, respectivement avec des sangles, selon la norme européenne SN EN 13155+A2, reprise par la Suisse en vertu de l'art. 4a LSIT (loi fédérale du 19 mars 1976 sur la sécurité d'installations et d'appareils techniques; RS 819.1). Toutefois, selon l'expert, en raison de l'inclinaison des façades sur lesquelles les vitres devaient être posées, cette exigence n'était presque pas applicable pour ce projet de construction, étant donné que les verres étaient déposés sur le bas et qu'ainsi les sangles ne pouvaient plus être retirées. L'expert a relevé que ces circonstances justifiaient d'autant plus l'utilisation d'un palonnier à ventouses à deux circuits.

B.b. Le 17 septembre 2015, T.________ a déposé un complément d'expertise (complément I), après avoir pris des renseignements auprès de la société K.________ AG, qui lui a confirmé que des étiquettes munies des mentions " 

S'agissant de l'installation litigieuse, l'expert a précisé que celle-ci était à l'origine constituée d'un palonnier à ventouses à deux circuits indépendants avec deux robinets sphériques à trois voies avec valves, munis d'un manostat à pression posé de manière fixe, ainsi que d'une pompe pneumatique à membranes de réserve. Après les modifications opérées, qui ne peuvent pas être datées, le palonnier à ventouses ne fonctionnait alors plus qu'à un seul circuit, les deux robinets sphériques à trois voies ayant été réunis en un unique robinet sphérique à trois voies avec valves, le manostat étant flottant (et non pas fixé) et non étiqueté.

L'expert a encore précisé que, lorsque le robinet sphérique à trois voies se trouvait sur la position " lösen ", aucune alarme ne retentissait lorsque les ventouses perdaient peu à peu leur force de préhension, au contraire d'une position sur "  saugen ". Il a par ailleurs expliqué que la seule exigence de la norme européenne s'agissant de la libération de la charge était qu'elle devait être actionnée par une commande à double action, exigence qui était remplie sur l'installation litigieuse. L'expert a enfin relevé que le module d'apprentissage d'utilisation des palonniers à ventouses édité par la SUVA ne concernait que les installations à un circuit avec un second dispositif de levage (par exemple par des sangles), précisant que ce dispositif de levage ne pouvait pas être utilisé lors de la phase de retournement, ni lors de la phase d'installation des verres.

B.c. Le 5 novembre 2015, l'expert a déposé un deuxième complément (complément II), dont il ressort que le second dispositif de levage de retenue à action positive (sangles) aurait pu être mis en place avant que M.________ ne monte sur l'échelle pour procéder au contrôle. L'expert a néanmoins expliqué qu'en réalité, un tel dispositif n'était que rarement utilisé sur des installations à un circuit, étant donné que celui-ci devait être ôté juste avant la mise en place du panneau de verre, à savoir au moment le plus crucial. Pour l'expert, même si l'utilisation d'une installation à un circuit avec un second dispositif de levage était possible en l'espèce, la position et l'enlèvement de ce dispositif après le retournement de la charge et avant la mise en place du plateau de verre présentait toujours un risque, étant donné que des personnes se trouvaient alors aux abords de la charge.

B.d. Le 2 décembre 2015, l'expert a déposé un troisième complément (complément III). Pour le spécialiste, les affirmations concernant l'étiquetage et figurant dans son premier rapport devaient être relativisées, dès lors qu'il avait visualisé un palonnier à ventouses relativement nouveau dont le fonctionnement du système de préhension par le vide s'effectuait au moyen d'une poignée qui ne portait pas d'inscription.

C.a. Par jugement du 1er avril 2011, le Tribunal de police de l'arrondissement de La Côte a reconnu X.________ coupable d'homicide par négligence. Il lui a infligé une peine pécuniaire de dix jours-amende, le montant du jour-amende étant fixé à 150 fr., et a suspendu l'exécution de cette peine pendant une durée de deux ans. En outre, il a accordé à A.________, la mère de la victime, des indemnités pour dommages-intérêts et tort moral.

C.b. Statuant le 5 septembre 2011, la Cour d'appel pénale du Tribunal cantonal vaudois a rejeté l'appel formé par X.________ et confirmé le jugement du 1er avril 2011.

Par arrêt du 12 juillet 2012 (6B_715/2011), la Cour de droit pénal du Tribunal fédéral a admis le recours de X.________, a annulé l'arrêt précité et a renvoyé la cause à la cour cantonale pour nouveau jugement.

C.c. A la suite de l'arrêt de renvoi du Tribunal fédéral, la Cour d'appel pénale du Tribunal cantonal vaudois a, par jugement du 11 octobre 2013, annulé le jugement du 1er avril 2011 rendu par le Tribunal de police et lui a renvoyé la cause pour nouvelle instruction et nouveau jugement au sens des considérants.

Par jugement du 21 décembre 2015, le Tribunal de police de l'arrondissement de La Côte a condamné X.________, pour homicide par négligence, à une peine pécuniaire de dix jours-amende, le montant du jour-amende étant fixé à 150 fr., a suspendu l'exécution de la peine et a fixé un délai d'épreuve de deux ans. Sur le plan civil, il a condamné l'intéressé à payer à A.________, la mère de la victime, une somme de 4'380 fr. 60 à titre de dommages-intérêts et une somme de 20'000 fr. à titre de réparation du tort moral, ces valeurs étant échues, ainsi que la somme de 17'810 fr. 15 à titre d'indemnité pour les dépenses obligatoires de la procédure.

C.d. Par jugement du 13 juin 2016, la Cour d'appel pénale du Tribunal cantonal vaudois a admis l'appel formé par X.________ et réformé le jugement du 21 décembre 2015 en ce sens qu'elle a libéré l'appelant du chef de prévention d'homicide par négligence et renvoyé A.________ à agir devant le juge civil en ce qui concerne ses conclusions civiles à l'encontre de X.________.

D. Contre ce dernier jugement, A.________ dépose un recours en matière pénale devant le Tribunal fédéral. Elle conclut, principalement, à la condamnation de X.________ pour homicide par négligence à une peine pécuniaire de dix jours-amende, à 150 fr. le jour, avec sursis pendant deux ans, ainsi qu'au versement d'une somme de 4'300 fr. 60 à titre de dommages-intérêts, d'une somme de 20'000 fr. à titre de réparation du tort moral et d'une somme de 17'810 fr. 15 à titre d'indemnité pour les dépenses obligatoires de la procédure. A titre subsidiaire, elle demande l'annulation du jugement attaqué et le renvoi de la cause à la cour cantonale pour nouveau jugement.

L'intimé a conclu au rejet du recours et a sollicité l'assistance judiciaire. La cour cantonale et le ministère public ont renoncé à se déterminer. La recourante et l'intimé ont déposé des observations complémentaires.

1.1. Selon l'art. 81 al. 1 let. a et b ch. 5 LTF, la partie plaignante est habilitée à recourir au Tribunal fédéral si elle a participé à la procédure de dernière instance cantonale et si la décision attaquée peut avoir des effets sur le jugement de ses prétentions civiles.

En l'espèce, la recourante est la mère de la victime, qui est décédée lors de l'accident de chantier du 9 janvier 2009. Les 11 juin 2009 et 14 septembre 2010, elle a déposé une plainte pénale et s'est constituée partie plaignante. Elle a pris des conclusions civiles sur le fond et a participé à toute la procédure. Enfin, le renversement du jugement attaqué peut avoir des effets sur ses prétentions civiles, lesquelles ont été rejetées. En conséquence, elle a bien la qualité pour recourir.

1.2. Le Tribunal fédéral statue en principe sur la base des faits établis par l'autorité précédente, sauf si ceux-ci ont été retenus de façon manifestement inexacte - ce qui correspond à la notion d'arbitraire (ATF 134 V 53 consid. 4.3 p. 63) - ou en violation du droit au sens de l'art. 95 LTF (cf. art. 105 al. 1 et 2 LTF) et si la correction du vice est susceptible d'influer sur le sort de la cause (art. 97 al. 1 LTF). Lorsque le recourant entend s'en prendre aux faits ressortant de l'arrêt attaqué, il doit établir de manière précise la réalisation de ces conditions. A défaut, il n'est pas possible de tenir compte d'un état de fait divergent de celui qui est contenu dans l'acte attaqué. En particulier, le Tribunal fédéral n'entre pas en matière sur des critiques de type appellatoire portant sur l'état de fait ou sur l'appréciation des preuves (ATF 142 III 364 consid. 2.4 p. 368).

2. La recourante soutient que la cour cantonale a libéré à tort l'intimé du chef d'accusation d'homicide par négligence.

2.1. Selon l'art. 117 CP, celui qui, par négligence, aura causé la mort d'une personne sera puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire. Agit par négligence quiconque, par une imprévoyance coupable, commet un crime ou un délit sans se rendre compte des conséquences de son acte ou sans en tenir compte. L'imprévoyance est coupable quand l'auteur n'a pas usé des précautions commandées par les circonstances et par sa situation personnelle (art. 12 al. 3 CP).

2.2.1. Le tribunal de première instance a reconnu l'intimé coupable d'homicide par négligence. Il a considéré qu'il n'était pas exclu que l'utilisation d'une machine conforme à la norme SN EN 13155+A2 aurait permis - selon le cours ordinaire des choses et l'expérience de la vie - d'éviter la survenance de l'accident qui s'est produit. Il a ainsi considéré qu'en utilisant un palonnier à ventouses à un circuit sans second dispositif de levage de retenue à action positive (sangles), les normes de sécurité avaient été violées par l'intimé, ce qui constituait la violation d'une règle de prudence. Selon le tribunal de première instance, la violation était fautive parce que rien ne justifiait de s'écarter des dispositions normatives contraignantes, pas même des contraintes pratiques et de rapidité qui peuvent avoir cours sur un chantier.

Pour le tribunal de première instance, la victime avait commis une erreur de manipulation du levier posé sur la valve flottante, en passant le levier sur la position " lösen ", alors qu'il était initialement sur la position "  saugen ". Toutefois, la fausse manipulation de la vanne n'était pas de nature à rompre le lien de causalité entre l'accident et le manquement reproché à l'intimé, même si cette erreur était difficilement compréhensible de la part de la victime, spécialisée dans le maniement des systèmes de préhension de charge tel que celui utilisé sur le chantier et qui avait en outre travaillé les deux jours précédents avec l'engin. En effet, la vanne de décharge était flottante, sans permettre de repères visuels fixes, si bien que la position du levier pouvait aisément, et même par un professionnel aguerri, être confondue, ce d'autant plus que les inscriptions "  saugen " et "  lösen " ne figuraient pas sur le levier. Pour le tribunal de première instance, le système utilisé présentait ainsi un risque de confusion qui n'était pas imprévisible, au point de reléguer à l'arrière-plan la faute de l'intimé.

2.2.2. La cour cantonale a libéré l'intimé du chef de prévention d'homicide par négligence. Elle a aussi admis que l'intimé avait violé les normes de sécurité en utilisant un palonnier à ventouses à un seul circuit, sans double valve de décharge ni sangles (jugement attaqué p. 25). Mais, elle a considéré que l'inobservation de la règle de prudence consistant à exiger la pose de sangles n'était pas en rapport de causalité naturelle et adéquate avec la survenance de l'accident. En effet, la victime avait procédé, après le retournement de la vitre, au double contrôle du fonctionnement du palonnier à ventouses et de l'adhérence du plateau de verre avant la pose des sangles, tel qu'exigé par l'expert, mais n'avait pas relevé d'irrégularité, de sorte que la vitre aurait très bien pu tomber lors de la pose des sangles. En outre, la fausse manipulation de la victime qui avait mis la vanne en position " lösen " était de nature à rompre le lien de causalité entre l'accident et les différents manquements reprochés à l'intimé.

3. Pour qu'il y ait homicide par négligence, il faut tout d'abord, d'une part, que l'auteur ait violé les règles de prudence que les circonstances lui imposaient pour ne pas excéder les limites du risque admissible et, d'autre part, qu'il n'ait pas déployé l'attention et les efforts que l'on pouvait attendre de lui pour se conformer à son devoir (ATF 135 IV 56 consid. 2.1 p. 64).

3.1. La norme européenne SN EN 13 155 pose les règles de prudence à observer lors de l'utilisation des palonniers à ventouses afin de réduire le nombre d'accidents. La mesure la plus importante revendique la " redondance ": lorsque l'aspiration diminue ou disparaît totalement, un dispositif de sécurité antichute supplémentaire doit s'actionner. Il s'agit généralement d'un second circuit sous vide, également capable de supporter la charge nominale avec un double système de sécurité. Selon la norme, avec une installation mono-circuit, la charge devrait en plus être assurée mécaniquement, par exemple par des sangles.

3.2. En l'espèce, il est admis - et non contesté - que l'intimé a utilisé un palonnier à ventouses à un seul circuit sans double valve de décharge et qu'il n'a pas accroché de sangles, de sorte qu'il a violé son devoir de prudence (cf. jugement attaqué p. 25 consid. 3.4.1). Il s'agit de déterminer si la violation de ce devoir de prudence (utilisation d'une installation mono-circuit sans pose de sangles) est en rapport de causalité avec la survenance de l'accident.

4.1. Un comportement est la cause naturelle d'un résultat s'il en constitue l'une des conditions sine qua non (ATF 133 IV 158 consid. 6.1 p. 167; 122 IV 17 consid. 2c/aa p. 23). La constatation du rapport de causalité naturelle relève du fait, ce qui la soustrait au contrôle du Tribunal fédéral. Il y a toutefois violation du droit fédéral si l'autorité cantonale méconnaît le concept même de la causalité naturelle (ATF 122 IV 17 consid. c/aa p. 23).

Lorsque la causalité naturelle est retenue, il faut encore se demander si le rapport de causalité peut être qualifié d'adéquat, c'est-à-dire si le comportement était propre, d'après le cours ordinaire des choses et l'expérience de la vie, à entraîner un résultat du genre de celui qui s'est produit (ATF 133 IV 158 consid. 6.1 p. 168; 131 IV 145 consid. 5.1 p. 147). Il s'agit-là d'une question de droit que le Tribunal fédéral revoit librement.

4.2.1. La cour cantonale a considéré que l'inobservation de la règle de prudence consistant à exiger la pose de sangles après le retournement de la vitre et avant sa mise en place n'était pas en rapport de causalité naturelle et adéquate avec la survenance de l'accident. D'une part, elle a expliqué que la victime avait effectué le double contrôle préconisé par l'expert et qu'elle n'avait détecté aucune défectuosité; dès lors, la vitre aurait très bien pu tomber lors de la pose des sangles et écraser la victime à ce moment. D'autre part, la cour cantonale a relevé que l'erreur de manipulation de la victime qui avait mis la vanne en position " 

4.2.2. La recourante reproche à la cour cantonale d'avoir versé dans l'arbitraire en retenant que la victime avait procédé au double contrôle du fonctionnement du palonnier à ventouses et à l'adhérence du plateau de verre. Selon la recourante, si ce contrôle avait été effectué, l'accident ne se serait très certainement pas produit, car la victime aurait alors, avant la pose des sangles, constaté que la vitre perdait de l'adhérence.

Pour sa part, l'intimé soutient que ses collaborateurs procédaient systématiquement à des tests pour chaque verre d'une certaine importance, en faisant une trace sur la vitre (à l'aide d'un ruban autocollant ou d'un feutre) et en regardant si le verre descendait lorsqu'ils le levaient un petit peu. Il explique que ce contrôle aurait lieu à titre initial et non après la phase de retournement de la charge en position verticale.

4.3.1. Selon l'expert, l'utilisation d'un palonnier à deux circuits avec double vanne de décharge était plus appropriée pour le chantier en question. En effet, le positionnement et l'enlèvement des sangles présentaient toujours un risque, étant donné que des personnes se trouvaient alors aux abords de la charge. Afin d'éviter le plus possible de mettre en danger des personnes lors des phases de retournement et d'installation de la vitre, l'expert a préconisé un contrôle du fonctionnement du palonnier à ventouses et de l'adhérence du plateau de verre avant la pose des sangles, conformément aux instructions contenues dans le module d'apprentissage (jugement attaqué, p. 25 s.; complément II du rapport d'expertise, p. 8 s.).

A cet égard, les instructions dans le " Module d'apprentissage Palonniers à ventouses " de la SUVA prévoient ce qui suit:

1. Contrôle fonctionnel (selon la notice d'instructions)

.a. mise en marche de la pompe (les soupapes doivent être fermées)

.b. création du vide

.c. arrêt de la pompe

.d. vérification du manomètre: vide constant ? En cas de réduction du vide: chercher les fuites

2. Utilisation du palonnier

.a. pose de chaque ventouse

.b. vérification de l'adhérence

Il ressort du module 2b que la vérification de l'adhérence des ventouses se fait par le tirage d'un trait avec un feutre sous les ventouses, celui-ci permettant de constater, à tout moment, un glissement des vitres.

4.3.2. Selon l'état de fait cantonal, la victime a vérifié que le levier était en bonne position et il a cru à tort que tel était le cas (et dit: " c'est en ordre ") (jugement attaqué p. 26). Or, contrairement à ce que soutient la cour cantonale, ce contrôle ne correspond pas au double contrôle exigé par l'expert et le " Module d'apprentissage Palonniers à ventouses " de la SUVA. Il ne ressort pas de l'état de fait cantonal que la victime a contrôlé le fonctionnement du palonnier à ventouses et l'adhérence de la vitre. En particulier, il n'est pas établi qu'elle a tracé sur la vitre un trait (à l'aide d'un ruban autocollant ou d'un feutre) pour vérifier que celle-ci ne glisse pas. Partant, en retenant sur la base de l'état de fait cantonal que la victime avait effectué le contrôle préconisé par l'expert, la cour cantonale a versé dans l'arbitraire. Toutefois, pour que le grief d'arbitraire soit admis, encore faut-il que la correction du vice soit susceptible d'influer sur le sort de la cause (art. 97 al. 1 LTF).

Si le double contrôle préconisé par l'expert avait été effectué, l'accident ne se serait certainement pas produit, car la victime aurait alors, avant la pose des sangles, constaté, d'une part, que le palonnier à ventouses ne fonctionnait plus correctement, et, d'autre part, que la vitre perdait de l'adhérence puisque le trait effectué avec le feutre sous les ventouses n'était plus au bon endroit. Dès lors, on aboutirait vraisemblablement à la conclusion que la violation du devoir de prudence consistant à utiliser un palonnier à ventouses à un seul circuit, sans double valve de décharge ni sangles serait dans un rapport de causalité adéquate avec la survenance de l'accident. Par conséquent, l'admission du double contrôle préconisé par l'expert, en contradiction avec l'état de fait, influe sur le sort de la cause. Le grief tiré de l'art. 97 LTF doit donc être admis, le jugement attaqué annulé et la cause renvoyée à la cour cantonale pour nouveau jugement sur ce point.

4.4. La recourante fait grief à la cour cantonale d'avoir retenu, de manière manifestement inexacte, qu'une machine à deux vannes de libération de charge n'aurait pas permis d'éviter la survenance de l'accident.

L'expert a déclaré qu'il aurait fallu utiliser un palonnier à deux circuits avec double vanne de décharge. La cour cantonale a toutefois exposé que, même dans ce cas, l'accident aurait eu lieu, car " rien n'indique que [la victime] n'aurait pas veillé à ce que la position des leviers soit la même sur les deux vannes, même dans l'hypothèse où cette position aurait été fausse " (jugement attaqué p. 27). Comme mentionné sous le considérant 5.3.5 ci-dessous, le jugement attaqué doit être annulé, à charge notamment pour la cour cantonale de réexaminer si l'erreur de manipulation de la victime était prévisible et était donc propre à rompre le lien de causalité. Dans le cadre de ce nouvel examen, elle devra également déterminer si la victime pouvait se tromper deux fois si elle avait utilisé une machine à deux vannes de libération de charge.

5. La recourante reproche également à la cour cantonale d'avoir retenu à tort que, dans tous les cas, il y aurait eu rupture du lien de causalité.

5.1. Il y a rupture du lien de causalité, l'enchaînement des faits perdant sa portée juridique, si une autre cause concomitante, par exemple une force naturelle, le comportement de la victime ou d'un tiers, constitue une circonstance tout à fait exceptionnelle ou apparaît si extraordinaire, que l'on ne pouvait pas s'y attendre. Cependant, l'imprévisibilité d'un acte concurrent ne suffit pas en soi à interrompre le rapport de causalité adéquate. Il faut encore que cet acte ait une importance telle qu'il s'impose comme la cause la plus probable et la plus immédiate de l'événement considéré, reléguant à l'arrière-plan tous les autres facteurs qui ont contribué à l'amener et notamment le comportement de l'auteur (ATF 134 IV 255 consid. 4.4.2 p. 265; 133 IV 158 consid. 6.1 p. 168; 131 IV 45 consid. 5.2 p. 148).

5.2.1. La cour cantonale a considéré que la mention expresse et écrite des positions " 

5.2.2. La recourante reproche à la cour cantonale d'avoir versé dans l'arbitraire en retenant que ni les prescriptions légales ni les règles de prudence auraient exigé l'utilisation d'une valve fixe et l'inscription des mentions " 

Pour sa part, l'intimé fait valoir que le module d'apprentissage de la SUVA ne présente aucune inscription pour les deux positions du levier actionnant la vanne de décharge; il ajoute qu'il en va de même pour la prétendue exigence que ce levier soit fixé sur le cadre du palonnier.

5.3.1. Les règles de l'art sont considérées comme reconnues lorsque leur exactitude théorique a été attestée par la science, qu'elles sont établies et que, d'après la grande majorité des spécialistes qui les appliquent, elles ont fait leurs preuves dans la pratique (FRANÇOIS CHAIX, in Commentaire romand, Code des obligations, 2e éd., 2012, n° 4 ad art. 364 CO; GAUCH/CARRON, Le contrat d'entreprise, 1999, n° 846). Dire s'il existe dans un cas particulier une règle professionnelle, un usage ou une règle de l'art et en définir le contenu relèvent du fait (ATF 133 III 121 consid. 3.1 p. 124 in fine; 113 II 25 consid. la p. 27). L'existence de telles règles ou usages peut ainsi être établie par tout moyen de preuve, en particulier sur la base d'une expertise (CHAIX, op. cit., n° 4 ad art. 364 CO; cf. arrêt 4A_428/2007 du 2 décembre 2008, consid. 3.1).

5.3.2. En l'espèce, le témoin V.________, ingénieur sécurité SUVA a déclaré: " 

5.3.3. Selon l'art. 4 de la loi fédérale sur la sécurité d'installations et d'appareils techniques (aLSIT), applicable au moment de l'accident, le Conseil fédéral devait définir les exigences essentielles de sécurité et de santé, en tenant compte du droit international correspondant. Avec l'ordonnance sur la sécurité d'installations et d'appareils techniques (aOSIT), applicable au moment de l'accident, il a transposé en droit suisse la directive CE n° 98/37 du 22 juin 1998 concernant le rapprochement des législations des Etats membres relatives aux machines (directive relative aux machines (art. 2 al. 1 aOSIT), prévoyant que " L'art. 1.2.2 de l'annexe I de ladite directive qui concerne les organes de commande précise ce qui suit:

" Organes de commande

Les organes de commande doivent être:

- clairement visibles et identifiables et, le cas échéant, faire l'objet d'un marquage approprié,

- placés pour permettre une manoeuvre sûre, sans hésitation ni perte de temps et sans équivoque,

- conçus de façon que le mouvement de l'organe de commande soit cohérent avec l'effet commandé,

- disposés en dehors des zones dangereuses sauf, si nécessaire, pour certains organes, tel qu'un arrêt d'urgence, une console d'apprentissage pour les robots,

- situés de façon que leur manoeuvre ne puisse engendrer de risques supplémentaires,

- conçus ou protégés de façon que l'effet voulu, s'il peut entraîner un risque, ne puisse se produire sans une manoeuvre intentionnelle,

- fabriqués de façon à résister aux efforts prévisibles. Une attention particulière sera apportée aux dispositifs d'arrêt d'urgence qui risquent d'être soumis à des efforts importants. "

5.3.4. Pour le surplus, différents témoins ont reconnu que le défaut d'inscription de type " 

L'expert T.________ a expliqué que l'erreur de manipulation de la vanne de décharge par la victime a " été favorisée par les inscriptions manquantes (lösen et saugen) sur la vanne de décharge ainsi que la commande non fixée de la vanne de décharge " (jugement attaqué, consid. 4.2. p. 17).

S.________, ouvrier de l'intimé, n'a pas pu dire sur quelle position se trouvait la vanne telle que représentée sur la photo qui lui était présentée aux débats de première instance, dans la mesure où il ne distinguait pas le haut du bas de la manette (jugement du Tribunal de police du 1er avril 2011, p. 20; jugement du Tribunal cantonal du 5 septembre 2011, p. 21).

Interpellé par la Présidente sur la position exacte du levier sur la photo, l'intimé n'a pas pu dire si le levier était en position " saugen " ou "  lösen ", car cela dépendait d'où venaient les tuyaux et notamment de leur rattachement à la citerne. Si le levier allait en direction du tuyau qui était rattaché à la citerne, cela équivalait à la position "  saugen ". Si le levier allait en direction des tuyaux rattachés aux ventouses, cela équivalait à la position "  lösen " (jugement du Tribunal de police du 21 décembre 2015, p. 17).

5.3.5. Il ressort de l'ensemble de ces éléments que les prescriptions légales et les règles de prudence exigent que les organes de commande fassent l'objet d'un marquage approprié et que, dans le cas d'espèce, le défaut de marquage et l'utilisation d'une valve flottante créaient un risque de confusion. Toutefois, sans aucune référence à ces témoignages, la cour cantonale a retenu que ni les prescriptions légales ni les règles de prudence n'exigeaient l'utilisation de vannes fixes et l'inscription des mentions " 

6. Le recours doit être admis, le jugement attaqué annulé et la cause renvoyée à l'autorité cantonale pour nouveau jugement dans le sens des considérants.

Dans le cas d'espèce, il peut être statué sans frais. La recourante qui obtient gain de cause peut prétendre à une indemnité de dépens à la charge de l'intimé et du canton de Vaud. La demande d'assistance judiciaire de l'intimé doit être admise au vu de sa situation financière et une indemnité appropriée doit être accordée à son conseil d'office, à charge de la caisse du Tribunal fédéral (art. 64 al. 2 LTF). L'intimé est rendu attentif au fait qu'il devra rembourser cette dernière, s'il peut ultérieurement le faire (art. 64 al. 4 LTF).

1. Le recours est admis, le jugement attaqué est annulé et la cause est renvoyée à l'autorité cantonale pour nouveau jugement.

2. Il n'est pas perçu de frais judiciaires.

3. Une indemnité de 3000 fr., à verser à la recourante à titre de dépens, est mise pour moitié à la charge du canton de Vaud et pour moitié à la charge de l'intimé.

4. La demande d'assistance judiciaire de l'intimé est admise pour la procédure devant le Tribunal fédéral.

5. Me Eric Stauffacher est désigné comme avocat d'office de l'intimé et une indemnité de 1'000 fr., supportée par la caisse du Tribunal fédéral, lui est allouée à titre d'honoraires.

6. Le présent arrêt est communiqué aux parties et à la Cour d'appel pénale du Tribunal cantonal du canton de Vaud.

Lausanne, le 22 novembre 2017

Au nom de la Cour de droit pénal

du Tribunal fédéral suisse

Le Président : Denys

La Greffière : Kistler Vianin