Hilary Remijas v. Neiman Marcus Group, LLC , 794 F.3d 688 ( 2015 )

In the
United States Court of Appeals
For the Seventh Circuit
____________________
No. 14‐3122
HILARY  REMIJAS, on behalf of herself and all others similarly
situated, et al.,
Plaintiffs‐Appellants,
v.
NEIMAN MARCUS GROUP, LLC,
Defendant‐Appellee.
____________________
Appeal from the United States District Court for the
Northern District of Illinois, Eastern Division.
No. 14 C 1735 — James B. Zagel, Judge.
____________________
ARGUED JANUARY 23, 2015 — DECIDED JULY 20, 2015
____________________
Before WOOD, Chief Judge, and KANNE and TINDER, Circuit
Judges.
WOOD,  Chief  Judge.  Sometime  in  2013,  hackers  attacked
Neiman  Marcus,  a  luxury  department  store,  and  stole  the
credit card numbers of its customers. In December 2013, the
company  learned  that  some  of  its  customers  had  found
fraudulent  charges  on  their  cards.  On  January  10,  2014,  it
announced  to  the  public  that  the  cyberattack  had  occurred
2  No. 14‐3122
and  that  between  July  16,  2013,  and  October  30,  2013,  ap‐
proximately 350,000 cards had been exposed to the hackers’
malware. In the wake of those disclosures, several customers
brought  this  action  under  the  Class  Action  Fairness  Act,  28
U.S.C. § 1332(d), seeking various forms of relief. The district
court stopped the suit in its tracks, however, ruling that both
the individual plaintiffs and the class lacked standing under
Article III of the Constitution. This resulted in a dismissal of
the complaint without prejudice. See Steel Co. v. Citizens for a
Better  Env’t,  523  U.S.  83,  102  (1998)  (standing  to  sue  is  a
threshold jurisdictional question); Hernandez v. Conriv Realty
Assocs.,  182  F.3d  121,  122  (2d  Cir.  1999)  (“[W]here  federal
subject  matter  jurisdiction  does  not  exist,  federal  courts  do
not have the power to dismiss with prejudice … .”). We con‐
clude that the district court erred. The plaintiffs satisfy Arti‐
cle  III’s  requirements  based  on  at  least  some  of  the  injuries
they  have  identified.  We  thus  reverse  and  remand  for  fur‐
ther proceedings.
I
In  mid‐December  2013,  Neiman  Marcus  learned  that
fraudulent  charges  had  shown  up  on  the  credit  cards  of
some of its customers. Keeping this information confidential
at first (according to plaintiffs, so that the breach would not
disrupt  the  lucrative  holiday  shopping  season),  it  promptly
investigated  the  reports.  It  discovered  potential  malware  in
its computer systems on January 1, 2014. Nine days later, it
publicly disclosed the data breach and sent individual notifi‐
cations  to  the  customers  who  had  incurred  fraudulent
charges.  The  company  also  posted  updates  on  its  website.
Those  messages  confirmed  several  aspects  of  the  attack:
some  card  numbers  had  been  exposed  to  the  malware,  but
No. 14‐3122  3
other  sensitive  information  such  as  social  security  numbers
and birth dates had not been compromised; the malware at‐
tempted to collect card data between July 16, 2013, and Oc‐
tober  30,  2013;  350,000  cards  were  potentially  exposed;  and
9,200 of those 350,000 cards were known to have been used
fraudulently.  Notably,  other  companies  had  also  suffered
cyberattacks during that holiday season.
At that point, Neiman Marcus notified all customers who
had shopped at its stores between January 2013 and January
2014  and  for whom  the  company  had  physical or email ad‐
dresses, offering them one year of free credit monitoring and
identity‐theft protection. On February 4, 2014, Michael King‐
ston, the Senior Vice President and Chief Information Officer
for  the  Neiman  Marcus  Group,  testified  before  the  United
States Senate Judiciary Committee. He represented that “the
customer  information  that  was  potentially  exposed  to  the
malware  was  payment  card  account  information”  and  that
“there is no indication that social security numbers or other
personal information were exposed in any way.”
These  disclosures  prompted  the  filing  of  a  number  of
class‐action  complaints.  They  were  consolidated  in  a  First
Amended Complaint filed on June 2, 2014, by Hilary Remi‐
jas,  Melissa  Frank,  Debbie  Farnoush,  and  Joanne  Kao.  They
sought  to  represent  themselves  and  the  approximately
350,000 other customers whose data may have been hacked.
The complaint relies on a number of theories for relief: neg‐
ligence, breach of implied contract, unjust enrichment, unfair
and  deceptive  business  practices,  invasion  of  privacy,  and
violation  of multiple state data  breach laws.  It  raises  claims
that exceed $5,000,000, and minimal  diversity of citizenship
exists, because Remijas is a citizen of Illinois, Frank is a citi‐
4  No. 14‐3122
zen of New York, and Farnoush and Kao are citizens of Cali‐
fornia,  while  the  Neiman  Marcus  Group  LLC,  once  owner‐
ship is traced through several intermediary LLCs, is owned
by  NM  Mariposa  Intermediate  Holdings  Inc.,  a  Delaware
corporation with its principal place of business in Texas. The
district court’s jurisdiction (apart from the Article III issue to
which  we  will  turn)  was  therefore  proper  under  28  U.S.C.
§ 1332(d)(2).
Remijas alleged that she made purchases using a Neiman
Marcus credit card at the department store in Oak Brook, Il‐
linois, in August and December 2013. Frank alleged that she
and  her  husband  used  a  joint  debit  card  account  to  make
purchases  at  a  Neiman  Marcus  store  on  Long  Island,  New
York, in December 2013; that on January 9, 2014, fraudulent
charges  appeared  on  her  debit  card  account;  that,  several
weeks  later,  she  was  the  target  of  a  scam  through  her  cell
phone;  and  that  her  husband  received  a  notice  letter  from
Neiman Marcus about the breach. Farnoush alleged that she
also incurred fraudulent charges on her credit card after she
used  it  at  Neiman  Marcus  in  2013.  Finally,  Kao  made  pur‐
chases  on  ten  separate  occasions  at  a  Neiman  Marcus  store
in  San  Francisco  in  2013  and  received  notifications  in  Janu‐
ary  2014  from  her  bank  as  well  as  Neiman  Marcus  that  her
debit card had been compromised.
Citing  Federal  Rules  of  Civil  Procedure  12(b)(1)  and
12(b)(6), Neiman Marcus moved to dismiss the complaint for
lack of standing and for failure to state a claim. On Septem‐
ber 16, 2014, the district judge granted the motion exclusive‐
ly on standing grounds, and the plaintiffs filed their notice of
appeal  nine  days  later.  This  created  a  slight  problem  with
appellate  jurisdiction,  because  the  district  judge  never  set
No. 14‐3122  5
out his judgment in a separate document as required by Rule
58(a).  Nonetheless,  we  have  confirmed  that  there  is  a  final
judgment for purposes of 28 U.S.C. § 1291 and our jurisdic‐
tion  is  secure.  (This  step  would  not  be  necessary  if  the  dis‐
trict court had taken the simple additional step described in
Rule  58(a);  we  once  again  urge  the  district  courts  to  do  so,
for  the  sake  of  both  the  parties  and  the  appellate  court.)
Here,  the  district  court  clearly  evidenced  its  intent  in  its
opinion  that  this  was  the  final  decision  in  the  case,  and  the
clerk recorded the dismissal in the docket. Bankers Trust Co.
v. Mallis, 435 U.S. 381, 387–88 (1978); see also Kaplan v. Shure
Bros., 153 F.3d 413, 417 (7th Cir. 1998). As neither party has
called  to  our  attention  anything  that  would  defeat  finality
nor do we see anything, we are free to proceed.
II
We  review  a  district  court’s  dismissal  for  lack  of  Article
III standing de novo. Reid L. v. Ill. State Bd. of Educ., 358 F.3d
511,  515  (7th  Cir.  2004).  Under  Rule  12(b)(1),  “the  district
court must accept as true all material allegations of the com‐
plaint,  drawing  all  reasonable  inferences  therefrom  in  the
plaintiff’s  favor,  unless  standing  is  challenged  as  a  factual
matter.”  Id.  “The  plaintiffs,  as  the  parties  invoking  federal
jurisdiction, bear the burden of establishing the required el‐
ements  of  standing.”  Id.  (citation  omitted);  see  Lujan  v.  De‐
fenders  of  Wildlife,  504  U.S.  555,  561  (1992).  In  order  to  have
standing,  a  litigant  must  “prove  that  he  has  suffered  a  con‐
crete  and  particularized  injury  that  is  fairly  traceable  to  the
challenged conduct, and is likely to be redressed by a favor‐
able judicial decision.” Hollingsworth v. Perry, 133 S. Ct. 2652,
2661 (2013) (citing Lujan, 504 U.S. at 560–61).
6  No. 14‐3122
These plaintiffs must allege that the data breach inflicted
concrete, particularized injury on them; that Neiman Marcus
caused  that  injury;  and  that  a  judicial  decision  can  provide
redress for them. We first address these requirements of Ar‐
ticle III standing, and then briefly comment on Neiman Mar‐
cus’s  argument  that,  alternatively,  the  complaint  should  be
dismissed for failure to state a claim.
A
The  plaintiffs  point  to  several  kinds  of  injury  they  have
suffered:  1)  lost  time  and  money  resolving  the  fraudulent
charges,  2)  lost  time  and  money  protecting  themselves
against  future  identity  theft,  3)  the  financial  loss  of  buying
items  at  Neiman  Marcus  that  they  would  not  have  pur‐
chased  had  they  known  of  the  store’s  careless  approach  to
cybersecurity, and 4) lost control over the value of their per‐
sonal information. (We note that these allegations go far be‐
yond the complaint about a website’s publication of inaccu‐
rate  information,  in  violation  of  the  Fair  Credit  Reporting
Act, that is before the Supreme Court in Spokeo, Inc. v. Robins,
No.  13‐1339,  cert.  granted  135  S.  Ct.  1892  (2015).)  The  plain‐
tiffs also allege that they have standing based on two immi‐
nent  injuries:  an increased risk of future fraudulent charges
and  greater  susceptibility  to  identity  theft.  We  address  the
two alleged imminent injuries first and then the four assert‐
ed actual injuries.
Allegations of future harm can establish Article III stand‐
ing if that harm is “certainly impending,” but “allegations of
possible future injury are not sufficient.” Clapper v. Amnesty
Intʹl  USA,  133  S.  Ct.  1138,  1147  (2013)  (citation  omitted).
Here,  the  complaint  alleges  that  everyone’s  personal  data
has already been stolen; it alleges that the 9,200 who already
No. 14‐3122  7
have  incurred  fraudulent  charges  have  experienced  harm.
Those victims have suffered the aggravation and loss of val‐
ue of the time needed to set things straight, to reset payment
associations  after  credit  card  numbers  are  changed,  and  to
pursue  relief  for  unauthorized  charges.  The  complaint  also
alleges  a  concrete  risk  of  harm  for  the  rest.  The  question  is
whether  these  allegations  satisfy  Clapper’s  requirement  that
injury either already have occurred or be “certainly impend‐
ing.”
As  for  the  9,200  (including  Frank  and  Farnoush),  the
plaintiffs  concede  that  they  were  later  reimbursed  and  that
the  evidence  does  not  yet  indicate  that  their  identities  (as
opposed  to  the  data)  have  been  stolen.  But  as  we  already
have  noted,  there  are  identifiable  costs  associated  with  the
process of sorting things out. Neiman Marcus challenges the
standing of these class members, but we see no merit in that
point. What about the class members who contend that un‐
reimbursed  fraudulent  charges  and  identity  theft  may  hap‐
pen  in  the  future,  and  that  these  injuries  are  likely  enough
that immediate preventive measures are necessary? Neiman
Marcus contends that this is too speculative to serve as inju‐
ry‐in‐fact.  It  argues  that  all  of  the  plaintiffs  would  be  reim‐
bursed for fraudulent charges because (it asserts) that is the
common practice of major credit card companies. The plain‐
tiffs  disagree  with  the  latter  proposition;  they  contend  that
they,  like all consumers subject  to fraudulent charges, must
spend time and money replacing cards and monitoring their
credit score, and that full reimbursement is not guaranteed.
(It  would  not  be  enough  to  review  one’s  credit  card  state‐
ments  carefully  every  month,  because  the  thieves  might—
and often do—acquire new credit cards unbeknownst to the
victim.) This reveals a material factual dispute on such mat‐
8  No. 14‐3122
ters as the class members’ experiences and both the content
of, and the universality of, bank reimbursement policies.
Clapper  does  not,  as  the  district  court  thought,  foreclose
any  use  whatsoever  of  future  injuries  to  support  Article  III
standing. In Clapper, the Supreme Court decided that human
rights  organizations  did  not  have  standing  to  challenge  the
Foreign  Intelligence  Surveillance  Act  (FISA)  because  they
could  not  show  that  their  communications  with  suspected
terrorists were intercepted by the government. The plaintiffs
only suspected that such interceptions might have occurred.
This,  the  Court  held,  was  too  speculative  to  support  stand‐
ing. In so ruling, however, it did not jettison the “substantial
risk” standard. To the contrary, it stated that “[o]ur cases do
not  uniformly require  plaintiffs to demonstrate  that  it is  lit‐
erally  certain  that  the  harms  they  identify  will  come  about.
In some instances, we have found standing based on a ‘sub‐
stantial  risk’  that  the  harm  will  occur,  which  may  prompt
plaintiffs to  reasonably  incur costs to mitigate or  avoid that
harm.” 133 S. Ct. at 1150 n.5 (2013) (citation omitted).
In a data breach case similar to ours, a district court per‐
suasively  applied  these  principles,  including  Clapper’s
recognition  that  a  substantial  risk  will  sometimes  suffice  to
support  Article  III  standing.  “Unlike  in  Clapper,  where  re‐
spondents’  claim that they  would suffer  future  harm rested
on  a  chain  of  events  that  was  both  ‘highly  attenuated’  and
‘highly  speculative,’  the  risk  that  Plaintiffs’  personal  data
will  be  misused  by  the  hackers  who  breached  Adobe’s  net‐
work is immediate and very real.” In re Adobe Sys., Inc. Priva‐
cy  Litig.,  No.  13–CV–05226–LHK,  2014  WL  4379916,  at  *8
(N.D.  Cal.  Sept.  4,  2014)  (citing  Clapper,  133  S.  Ct.  at  1148).
Our  case  is  much  the  same.  The  plaintiffs  allege  that  the
No. 14‐3122  9
hackers deliberately targeted Neiman Marcus in order to ob‐
tain their credit‐card information. Whereas in Clapper, “there
was  no  evidence  that  any  of  respondents’  communications
either had been or would be monitored,” in our case there is
“no  need  to  speculate  as  to  whether  [the  Neiman  Marcus
customers’]  information  has  been  stolen  and  what  infor‐
mation  was  taken.”  Id.  (citing  Clapper,  133  S.  Ct.  at  1148).
Like  the  Adobe  plaintiffs,  the  Neiman  Marcus  customers
should  not  have  to  wait  until  hackers  commit  identity  theft
or  credit‐card  fraud  in  order  to  give  the  class  standing,  be‐
cause  there  is  an  “objectively  reasonable  likelihood”  that
such an injury will occur. Clapper, 133 S. Ct. at 1147.
Requiring the plaintiffs “to wait for the threatened harm
to materialize in order to sue” would create a different prob‐
lem:  “the  more  time that  passes  between  a  data  breach  and
an  instance  of  identity  theft,  the  more  latitude  a  defendant
has to argue that the identity theft is not ‘fairly traceable’ to
the  defendant’s  data  breach.”  In  re  Adobe  Sys.,  2014  WL
4379916, at *8 n.5. Neiman Marcus has made just that argu‐
ment here. The point is best understood as a challenge to the
causation requirement of standing, to which we turn shortly.
At  this  stage  in  the  litigation,  it  is  plausible  to  infer  that
the plaintiffs have shown a substantial risk of harm from the
Neiman Marcus data breach. Why else would hackers break
into  a  store’s  database  and  steal  consumers’  private  infor‐
mation?  Presumably,  the  purpose  of  the  hack  is,  sooner  or
later,  to  make  fraudulent  charges  or  assume  those  consum‐
ers’ identities. The plaintiffs are also careful to say that only
9,200  cards  have  experienced  fraudulent  charges  so  far;  the
complaint  asserts  that  fraudulent  charges  and  identity  theft
can occur long after a data breach. It cites a Government Ac‐
10  No. 14‐3122
countability  Office  Report  that  finds  that  “stolen  data  may
be held for up to a year or more before being used to commit
identity  theft.  Further,  once  stolen  data  have  been  sold  or
posted on  the Web, fraudulent use  of  that  information may
continue  for  years.”  U.S.  GOV’T  ACCOUNTABILITY  OFFICE,
GAO‐07‐737,  REPORT  TO  CONGRESSIONAL  REQUESTERS:
PERSONAL  INFORMATION  29 (2007). (This suggests that on re‐
mand the district court may wish to look into length of time
that  a  victim  is  truly  at  risk;  the  GAO  suggests  at  least  one
year,  but  more  data  may  shed  light  on  this  question.)  We
recognize  that  the  plaintiffs  may  eventually  not  be  able  to
provide an adequate factual basis for the inference, but they
had no such burden at the pleading stage. Their allegations
of future injury are sufficient to survive a 12(b)(1) motion.
In addition to the alleged future injuries, the plaintiffs as‐
sert  that  they  have  already  lost  time  and  money  protecting
themselves  against  future  identity  theft  and  fraudulent
charges. Mitigation expenses do not qualify as actual injuries
where  the  harm  is  not  imminent.  Clapper,  133  S.  Ct.  at  1152
(concluding that “costs that they have incurred to avoid [in‐
jury]”  are insufficient to confer standing). Plaintiffs “cannot
manufacture  standing  by  incurring  costs  in  anticipation  of
non‐imminent harm.” Id. at 1155. “If the law were otherwise,
an  enterprising  plaintiff  would  be  able  to  secure  a  lower
standard  for  Article  III  standing  simply  by  making  an  ex‐
penditure based on a nonparanoid fear.” Id. at 1151.
Once  again,  however,  it  is  important  not  to  overread
Clapper.  Clapper  was  addressing  speculative  harm  based  on
something that may not even have happened to some or all
of  the  plaintiffs.  In  our  case,  Neiman  Marcus  does  not  con‐
test  the  fact  that  the  initial  breach  took  place.  An  affected
No. 14‐3122  11
customer, having  been  notified  by  Neiman  Marcus  that  her
card is at risk, might think it necessary to subscribe to a ser‐
vice that offers monthly credit monitoring. It is telling in this
connection  that  Neiman  Marcus  offered  one  year  of  credit
monitoring and identity‐theft protection to all customers for
whom  it  had  contact  information  and  who  had  shopped  at
their stores between January 2013 and January 2014. It is un‐
likely  that  it  did  so  because  the  risk  is  so  ephemeral  that  it
can  safely  be  disregarded.  These  credit‐monitoring  services
come  at  a  price  that  is  more  than  de  minimis.  For  instance,
Experian  offers  credit  monitoring  for  $4.95  a  month  for  the
first  month,  and  then  $19.95  per  month  thereafter.  See
http://www.experian.com/consumer‐products/credit‐monito
ring.html. That easily qualifies as a concrete injury. It is also
worth noting that our analysis is consistent with that in An‐
derson v. Hannaford Bros. Co., where the First Circuit held be‐
fore Clapper that the plaintiffs sufficiently alleged mitigation
expenses—namely, the fees for replacement cards and moni‐
toring  expenses—because  under  Maine  law,  a  plaintiff  may
“recover  for  costs  and  harms  incurred  during  a  reasonable
effort  to  mitigate,  regardless  of  whether  the  harm  is  non‐
physical.” 659 F.3d 151, 162 (1st Cir. 2011).
For the sake of completeness, we comment briefly on the
other asserted injuries. They are more problematic. We need
not  decide  whether  they  would  have  sufficed  for  standing
on  their  own,  but  we  are  dubious.  The  plaintiffs  argue,  for
example,  that  they  overpaid  for  the  products  at  Neiman
Marcus because the store failed to invest in an adequate se‐
curity system. In some situations, we have held that financial
injury  in  the  form  of  an  overcharge  can  support  Article  III
standing.  See  In  re  Aqua  Dots  Products  Liab.  Litig.,  654  F.3d
748, 751 (7th Cir. 2011) (“The plaintiffs’ loss is financial: they
12  No. 14‐3122
paid  more  for  the  toys  than  they  would  have,  had  they
known  of  the  risks  the  beads  posed  to  children.  A  financial
injury  creates  standing.”)  (citations  omitted).  District  courts
have  applied  this  approach  to  comparable  situations.  See,
e.g.,  Chicago  Faucet  Shoppe,  Inc.  v.  Nestle  Waters  N.  Am.  Inc.,
No. 12 C 08119, 2014 WL 541644, at *3 (N.D. Ill. Feb. 11, 2014)
(citing Aqua Dots); Muir v. Playtex Products, LLC, 983 F. Supp.
2d  980,  986  (N.D.  Ill.  2013)  (holding  that  a  claim  that  con‐
sumer would not have purchased product or not have paid a
premium  price  for  the  product  is  sufficient  injury  to  estab‐
lish standing).
Importantly, many of those cases involve products liabil‐
ity claims against defective or dangerous products. See, e.g.,
Lipton v. Chattem, Inc. No. 11 C 2952, 2012 WL 1192083, at *3–
4  (N.D.  Ill.  Apr.  10,  2012).  Our  case  would  extend  that  idea
from a particular product to the operation of the entire store:
plaintiffs allege that they would have shunned Neiman Mar‐
cus  had  they  known  that  it  did  not  take  the  necessary  pre‐
cautions  to  secure  their  personal  and  financial  data.  They
appear  to  be  alleging  some  form  of  unjust  enrichment  as
well:  Neiman  Marcus  sold  its  products  at  premium  prices,
but instead of taking a portion of the proceeds and devoting
it to cybersecurity, the company pocketed too much. This is
a step that we need not, and do not, take in this case. Plain‐
tiffs do not allege any defect in any product they purchased;
they assert instead that patronizing Neiman Marcus inflicted
injury  on  them.  Compare  Resnick  v.  AvMed,  Inc.,  693  F.3d
1317,  1328  (11th  Cir.  2012)  (reasoning  that  the  plaintiff  had
financial injury from paying higher premiums in light of de‐
fendant’s failure to implement security policies). That allega‐
tion  takes  nothing away  from  plaintiffs’ more concrete  alle‐
No. 14‐3122  13
gations  of  injury,  but  it  is  not  necessary  to  support  their
standing.
The plaintiffs also allege that they have a concrete injury
in the loss of their private information, which they character‐
ize  as  an  intangible  commodity.  Under  this  theory,  persons
who  had  unauthorized  credit  charges  would  have  standing
even  if  they  were  automatically  reimbursed,  their  identities
were  not  stolen,  and  they  could  not  show  that  there  was  a
substantial  risk  of  lack  of  reimbursement  or  further  use  of
their  information.  This  assumes  that  federal  law  recognizes
such a property right. Plaintiffs refer us to no authority that
would  support  such  a  finding.  We  thus  refrain  from  sup‐
porting  standing  on  such  an  abstract  injury,  particularly
since the complaint does not suggest that the plaintiffs could
sell their personal information for value.
The plaintiffs counter that recently‐enacted state statutes
make this right to personal information concrete enough for
standing.  They  are  correct  to  the  extent  they  suggest  that
“the  actual  or  threatened  injury  required  under  Article  III
can  be  satisfied  solely  by  virtue  of  an  invasion  of  a  recog‐
nized state‐law right.” Scanlan v. Eisenberg, 669 F.3d 838, 845
(7th  Cir.  2012)  (citation  omitted).  The  plaintiffs  argue  that
Neiman  Marcus  violated  California  and  Illinois’s  Data
Breach  Acts  by  impermissibly  delaying  the  notifications  of
the data breach. That may be (we express no opinion on the
point), but even if it is, the violation does not help the plain‐
tiffs. Neither of those statutes provides the basis for finding
an injury for Article III standing. As for California law, a de‐
lay in notification is not a cognizable injury, Price v. Starbucks
Corp., 192 Cal. App. 4th 1136, 1143 (Cal. Ct. App. 2011), and
the Illinois Consumer Fraud Act requires “actual damages.”
14  No. 14‐3122
People ex rel. Madigan v. United Constr. of Am., Inc., 981 N.E.2d
404,  411  (Ill.  App.  Ct.  2012).  None  of  the  other  state‐law
claims  has  been  discussed  by  the  parties,  and  so  we  too  do
not address them.
To  sum  up,  we  refrain  from  deciding  whether  the  over‐
payment for Neiman Marcus products and the right to one’s
personal information  might suffice  as injuries under Article
III. The injuries associated with resolving fraudulent charges
and protecting oneself against future identity theft do. These
injuries are sufficient to satisfy the first requirement of Arti‐
cle III standing.
B
Injury‐in‐fact  is  only  one  of  the  three  requirements  for
Article  III  standing.  Plaintiffs  must  also  allege  enough  in
their complaint to  support the other  two prerequisites: cau‐
sation  and  redressability.  As  the  Supreme  Court  put  it  in
Clapper,  plaintiffs  must  “show[ ]  that  the  defendant’s  actual
action has caused the substantial risk of harm.” 133 S. Ct. at
1150, n.5. Neiman Marcus argues that these plaintiffs cannot
show that their injuries are traceable to the data incursion at
the  company  rather  than  to  one  of  several  other  large‐scale
breaches  that  took  place  around  the  same  time.  This  argu‐
ment  is  reminiscent  of  Summers  v.  Tice,  199  P.2d  1,  5  (Cal.
1948),  in  which  joint  liability  was  properly  pleaded  when,
during a quail hunt on the open range, the plaintiff was shot,
but he did not know which defendant had shot him. Under
those  circumstances,  the  Supreme  Court  of  California  held,
the  burden  shifted  to  the  defendants  to  show  who  was  re‐
sponsible. Neiman Marcus apparently rejects such a rule, but
we think that this debate has no bearing on standing to sue;
No. 14‐3122  15
at most, it is a legal theory that Neiman Marcus might later
raise as a defense.
The  fact  that  Target  or  some  other  store  might  have
caused the plaintiffs’ private information to be exposed does
nothing to negate the plaintiffs’ standing to sue. It is certain‐
ly  plausible  for  pleading  purposes  that  their  injuries  are
“fairly traceable” to the data breach at Neiman Marcus. See
In  re  Target  Corp.  Data  Sec.  Breach  Litig.,  MDL  No.  14–2522
(PAM/JJK), 2014 WL 7192478, at *2 (D. Minn. Dec. 18, 2014)
(“Plaintiffs’  allegations  plausibly  allege  that  they  suffered
injuries that are ‘fairly traceable’ to Targetʹs conduct. This is
sufficient  at  this  stage  to  plead  standing.  Should  discovery
fail  to  bear  out  Plaintiffs’  allegations,  Target  may  move  for
summary  judgment  on  the  issue.”).  If  there  are  multiple
companies  that  could  have  exposed  the  plaintiffs’  private
information  to  the  hackers,  then  “the  common  law  of  torts
has long shifted the burden of proof to defendants to prove
that their negligent actions were not the ‘but‐for’ cause of the
plaintiff’s  injury.” Price  Waterhouse  v.  Hopkins,  490  U.S.  228,
263  (1989)  (O’Connor,  J.  concurring)  (citing  Summers,  199
P.2d  at  3–4).  It  is  enough  at  this  stage  of  the  litigation  that
Neiman  Marcus  admitted  that  350,000  cards  might  have
been  exposed  and  that  it  contacted  members  of  the  class  to
tell them they were at risk. Those admissions and actions by
the store adequately raise the plaintiffs’ right to relief above
the speculative level. See Bell Atl. Corp. v. Twombly, 550 U.S.
544, 570 (2007).
With  respect  to  standing,  Neiman  Marcus  finally  argues
that the plaintiffs’ injuries cannot be redressed by a judicial
decision because they already have been reimbursed for the
fraudulent  charges.  That  may  be  true  for  the  fraudulent
16  No. 14‐3122
charges (the plaintiffs do not allege that any of those charges
went unreimbursed), but it is not true for the mitigation ex‐
penses  or  the  future  injuries.  Although  some  credit  card
companies  offer  some  customers  “zero  liability”  policies,
under  which  the  customer  is  not  held  responsible  for  any
fraudulent  charges,  that  practice  defeats  neither  injury‐in‐
fact nor redressability. The “zero liability” feature is a busi‐
ness  practice,  not  a  federal  requirement.  Under  15  U.S.C.
§ 1643, a consumer’s liability for the unauthorized use of her
credit card may not exceed $50 if she does not report the loss
before  the credit card is  used.  If she notifies the card issuer
before any use, she is not responsible for any charges she did
not  authorize.  Debit  cards  (used  by  several  of  the  named
plaintiffs)  receive  less  protection  than  credit  cards;  the  for‐
mer are covered under the Electronic Funds Transfer Act, 15
U.S.C. § 1693 et seq., and the latter under the Truth in Lend‐
ing Act as amended by the Fair Credit Billing Act, 15 U.S.C.
§ 1601 et seq. If a person fails to report to her bank that mon‐
ey has been taken from her debit card account more than 60
days after she receives the statement, there is no limit to her
liability and she could lose all the money in her account. In
any  event,  as  we  have  noted,  reimbursement  policies  vary.
For the plaintiffs, a favorable judicial decision could redress
any injuries caused by less than full reimbursement of unau‐
thorized charges.
C
Neiman Marcus attempts to argue in the alternative that
the plaintiffs failed to state a claim upon which relief can be
granted. FED. R. CIV. P. 12(b)(6). Their problem is that the dis‐
trict court did not reach this ground, and that the ground on
which  it  resolved  the  case  (Article  III  standing)  necessarily
No. 14‐3122  17
resulted in a dismissal without prejudice. A dismissal under
Rule  12(b)(6),  in  contrast,  is  a  dismissal  with  prejudice.  If
Neiman Marcus had wanted this additional relief, it needed
to file a cross‐appeal. See Jennings v. Stephens, 135 S. Ct. 793,
798  (2015)  (“[A]n  appellee  who  does  not  cross‐appeal  may
not attack the decree with a view either to enlarging his own
rights  thereunder  or  of  lessening  the  rights  of  his  adver‐
sary.”)  (citation  and  quotation  marks  omitted).  Since  it  did
not,  the  question  whether  this  complaint  states  a  claim  on
which relief can be granted is not properly before us.
We therefore conclude that the plaintiffs have adequately
alleged  standing  under  Article  III.  The  district  court’s  judg‐
ment is REVERSED and the case is REMANDED for further pro‐
ceedings consistent with this opinion.