Court Opinion

ID: 2818493
Source: CourtListenerOpinion
Date Created: 2015-07-20 17:53:51.896611+00
Date Added: 2024-06-11T12:24:53.415193
License: Public Domain

In the

     United States Court of Appeals
                 For the Seventh Circuit
                     ____________________ 
No. 14‐3122 
HILARY  REMIJAS, on behalf of herself and all others similarly 
situated, et al.,  
                                         Plaintiffs‐Appellants, 

                                  v. 

NEIMAN MARCUS GROUP, LLC, 
                                                 Defendant‐Appellee. 
                     ____________________ 

         Appeal from the United States District Court for the 
           Northern District of Illinois, Eastern Division. 
              No. 14 C 1735 — James B. Zagel, Judge. 
                     ____________________ 

     ARGUED JANUARY 23, 2015 — DECIDED JULY 20, 2015 
                ____________________ 

   Before WOOD, Chief Judge, and KANNE and TINDER, Circuit 
Judges. 
   WOOD,  Chief  Judge.  Sometime  in  2013,  hackers  attacked 
Neiman  Marcus,  a  luxury  department  store,  and  stole  the 
credit card numbers of its customers. In December 2013, the 
company  learned  that  some  of  its  customers  had  found 
fraudulent  charges  on  their  cards.  On  January  10,  2014,  it 
announced  to  the  public  that  the  cyberattack  had  occurred 
2                                                        No. 14‐3122 

and  that  between  July  16,  2013,  and  October  30,  2013,  ap‐
proximately 350,000 cards had been exposed to the hackers’ 
malware. In the wake of those disclosures, several customers 
brought  this  action  under  the  Class  Action  Fairness  Act,  28 
U.S.C. § 1332(d), seeking various forms of relief. The district 
court stopped the suit in its tracks, however, ruling that both 
the individual plaintiffs and the class lacked standing under 
Article III of the Constitution. This resulted in a dismissal of 
the complaint without prejudice. See Steel Co. v. Citizens for a 
Better  Env’t,  523  U.S.  83,  102  (1998)  (standing  to  sue  is  a 
threshold jurisdictional question); Hernandez v. Conriv Realty 
Assocs.,  182  F.3d  121,  122  (2d  Cir.  1999)  (“[W]here  federal 
subject  matter  jurisdiction  does  not  exist,  federal  courts  do 
not have the power to dismiss with prejudice … .”). We con‐
clude that the district court erred. The plaintiffs satisfy Arti‐
cle  III’s  requirements  based  on  at  least  some  of  the  injuries 
they  have  identified.  We  thus  reverse  and  remand  for  fur‐
ther proceedings.  
                                   I 
    In  mid‐December  2013,  Neiman  Marcus  learned  that 
fraudulent  charges  had  shown  up  on  the  credit  cards  of 
some of its customers. Keeping this information confidential 
at first (according to plaintiffs, so that the breach would not 
disrupt  the  lucrative  holiday  shopping  season),  it  promptly 
investigated  the  reports.  It  discovered  potential  malware  in 
its computer systems on January 1, 2014. Nine days later, it 
publicly disclosed the data breach and sent individual notifi‐
cations  to  the  customers  who  had  incurred  fraudulent 
charges.  The  company  also  posted  updates  on  its  website. 
Those  messages  confirmed  several  aspects  of  the  attack: 
some  card  numbers  had  been  exposed  to  the  malware,  but 
No. 14‐3122                                                       3 

other  sensitive  information  such  as  social  security  numbers 
and birth dates had not been compromised; the malware at‐
tempted to collect card data between July 16, 2013, and Oc‐
tober  30,  2013;  350,000  cards  were  potentially  exposed;  and 
9,200 of those 350,000 cards were known to have been used 
fraudulently.  Notably,  other  companies  had  also  suffered 
cyberattacks during that holiday season.  
    At that point, Neiman Marcus notified all customers who 
had shopped at its stores between January 2013 and January 
2014  and  for whom  the  company  had  physical or email ad‐
dresses, offering them one year of free credit monitoring and 
identity‐theft protection. On February 4, 2014, Michael King‐
ston, the Senior Vice President and Chief Information Officer 
for  the  Neiman  Marcus  Group,  testified  before  the  United 
States Senate Judiciary Committee. He represented that “the 
customer  information  that  was  potentially  exposed  to  the 
malware  was  payment  card  account  information”  and  that 
“there is no indication that social security numbers or other 
personal information were exposed in any way.”  
    These  disclosures  prompted  the  filing  of  a  number  of 
class‐action  complaints.  They  were  consolidated  in  a  First 
Amended Complaint filed on June 2, 2014, by Hilary Remi‐
jas,  Melissa  Frank,  Debbie  Farnoush,  and  Joanne  Kao.  They 
sought  to  represent  themselves  and  the  approximately 
350,000 other customers whose data may have been hacked. 
The complaint relies on a number of theories for relief: neg‐
ligence, breach of implied contract, unjust enrichment, unfair 
and  deceptive  business  practices,  invasion  of  privacy,  and 
violation  of multiple state data  breach laws.  It  raises  claims 
that exceed $5,000,000, and minimal  diversity of citizenship 
exists, because Remijas is a citizen of Illinois, Frank is a citi‐
4                                                      No. 14‐3122 

zen of New York, and Farnoush and Kao are citizens of Cali‐
fornia,  while  the  Neiman  Marcus  Group  LLC,  once  owner‐
ship is traced through several intermediary LLCs, is owned 
by  NM  Mariposa  Intermediate  Holdings  Inc.,  a  Delaware 
corporation with its principal place of business in Texas. The 
district court’s jurisdiction (apart from the Article III issue to 
which  we  will  turn)  was  therefore  proper  under  28  U.S.C. 
§ 1332(d)(2).  
    Remijas alleged that she made purchases using a Neiman 
Marcus credit card at the department store in Oak Brook, Il‐
linois, in August and December 2013. Frank alleged that she 
and  her  husband  used  a  joint  debit  card  account  to  make 
purchases  at  a  Neiman  Marcus  store  on  Long  Island,  New 
York, in December 2013; that on January 9, 2014, fraudulent 
charges  appeared  on  her  debit  card  account;  that,  several 
weeks  later,  she  was  the  target  of  a  scam  through  her  cell 
phone;  and  that  her  husband  received  a  notice  letter  from 
Neiman Marcus about the breach. Farnoush alleged that she 
also incurred fraudulent charges on her credit card after she 
used  it  at  Neiman  Marcus  in  2013.  Finally,  Kao  made  pur‐
chases  on  ten  separate  occasions  at  a  Neiman  Marcus  store 
in  San  Francisco  in  2013  and  received  notifications  in  Janu‐
ary  2014  from  her  bank  as  well  as  Neiman  Marcus  that  her 
debit card had been compromised.  
    Citing  Federal  Rules  of  Civil  Procedure  12(b)(1)  and 
12(b)(6), Neiman Marcus moved to dismiss the complaint for 
lack of standing and for failure to state a claim. On Septem‐
ber 16, 2014, the district judge granted the motion exclusive‐
ly on standing grounds, and the plaintiffs filed their notice of 
appeal  nine  days  later.  This  created  a  slight  problem  with 
appellate  jurisdiction,  because  the  district  judge  never  set 
No. 14‐3122                                                             5 

out his judgment in a separate document as required by Rule 
58(a).  Nonetheless,  we  have  confirmed  that  there  is  a  final 
judgment for purposes of 28 U.S.C. § 1291 and our jurisdic‐
tion  is  secure.  (This  step  would  not  be  necessary  if  the  dis‐
trict court had taken the simple additional step described in 
Rule  58(a);  we  once  again  urge  the  district  courts  to  do  so, 
for  the  sake  of  both  the  parties  and  the  appellate  court.) 
Here,  the  district  court  clearly  evidenced  its  intent  in  its 
opinion  that  this  was  the  final  decision  in  the  case,  and  the 
clerk recorded the dismissal in the docket. Bankers Trust Co. 
v. Mallis, 435 U.S. 381, 387–88 (1978); see also Kaplan v. Shure 
Bros., 153 F.3d 413, 417 (7th Cir. 1998). As neither party has 
called  to  our  attention  anything  that  would  defeat  finality 
nor do we see anything, we are free to proceed. 
                                    II 
    We  review  a  district  court’s  dismissal  for  lack  of  Article 
III standing de novo. Reid L. v. Ill. State Bd. of Educ., 358 F.3d 
511,  515  (7th  Cir.  2004).  Under  Rule  12(b)(1),  “the  district 
court must accept as true all material allegations of the com‐
plaint,  drawing  all  reasonable  inferences  therefrom  in  the 
plaintiff’s  favor,  unless  standing  is  challenged  as  a  factual 
matter.”  Id.  “The  plaintiffs,  as  the  parties  invoking  federal 
jurisdiction, bear the burden of establishing the required el‐
ements  of  standing.”  Id.  (citation  omitted);  see  Lujan  v.  De‐
fenders  of  Wildlife,  504  U.S.  555,  561  (1992).  In  order  to  have 
standing,  a  litigant  must  “prove  that  he  has  suffered  a  con‐
crete  and  particularized  injury  that  is  fairly  traceable  to  the 
challenged conduct, and is likely to be redressed by a favor‐
able judicial decision.” Hollingsworth v. Perry, 133 S. Ct. 2652, 
2661 (2013) (citing Lujan, 504 U.S. at 560–61). 
6                                                        No. 14‐3122 

    These plaintiffs must allege that the data breach inflicted 
concrete, particularized injury on them; that Neiman Marcus 
caused  that  injury;  and  that  a  judicial  decision  can  provide 
redress for them. We first address these requirements of Ar‐
ticle III standing, and then briefly comment on Neiman Mar‐
cus’s  argument  that,  alternatively,  the  complaint  should  be 
dismissed for failure to state a claim. 
                                  A 
     The  plaintiffs  point  to  several  kinds  of  injury  they  have 
suffered:  1)  lost  time  and  money  resolving  the  fraudulent 
charges,  2)  lost  time  and  money  protecting  themselves 
against  future  identity  theft,  3)  the  financial  loss  of  buying 
items  at  Neiman  Marcus  that  they  would  not  have  pur‐
chased  had  they  known  of  the  store’s  careless  approach  to 
cybersecurity, and 4) lost control over the value of their per‐
sonal information. (We note that these allegations go far be‐
yond the complaint about a website’s publication of inaccu‐
rate  information,  in  violation  of  the  Fair  Credit  Reporting 
Act, that is before the Supreme Court in Spokeo, Inc. v. Robins, 
No.  13‐1339,  cert.  granted  135  S.  Ct.  1892  (2015).)  The  plain‐
tiffs also allege that they have standing based on two immi‐
nent  injuries:  an increased risk of future fraudulent charges 
and  greater  susceptibility  to  identity  theft.  We  address  the 
two alleged imminent injuries first and then the four assert‐
ed actual injuries. 
    Allegations of future harm can establish Article III stand‐
ing if that harm is “certainly impending,” but “allegations of 
possible future injury are not sufficient.” Clapper v. Amnesty 
Intʹl  USA,  133  S.  Ct.  1138,  1147  (2013)  (citation  omitted). 
Here,  the  complaint  alleges  that  everyone’s  personal  data 
has already been stolen; it alleges that the 9,200 who already 
No. 14‐3122                                                           7 

have  incurred  fraudulent  charges  have  experienced  harm. 
Those victims have suffered the aggravation and loss of val‐
ue of the time needed to set things straight, to reset payment 
associations  after  credit  card  numbers  are  changed,  and  to 
pursue  relief  for  unauthorized  charges.  The  complaint  also 
alleges  a  concrete  risk  of  harm  for  the  rest.  The  question  is 
whether  these  allegations  satisfy  Clapper’s  requirement  that 
injury either already have occurred or be “certainly impend‐
ing.” 
     As  for  the  9,200  (including  Frank  and  Farnoush),  the 
plaintiffs  concede  that  they  were  later  reimbursed  and  that 
the  evidence  does  not  yet  indicate  that  their  identities  (as 
opposed  to  the  data)  have  been  stolen.  But  as  we  already 
have  noted,  there  are  identifiable  costs  associated  with  the 
process of sorting things out. Neiman Marcus challenges the 
standing of these class members, but we see no merit in that 
point. What about the class members who contend that un‐
reimbursed  fraudulent  charges  and  identity  theft  may  hap‐
pen  in  the  future,  and  that  these  injuries  are  likely  enough 
that immediate preventive measures are necessary? Neiman 
Marcus contends that this is too speculative to serve as inju‐
ry‐in‐fact.  It  argues  that  all  of  the  plaintiffs  would  be  reim‐
bursed for fraudulent charges because (it asserts) that is the 
common practice of major credit card companies. The plain‐
tiffs  disagree  with  the  latter  proposition;  they  contend  that 
they,  like all consumers subject  to fraudulent charges, must 
spend time and money replacing cards and monitoring their 
credit score, and that full reimbursement is not guaranteed. 
(It  would  not  be  enough  to  review  one’s  credit  card  state‐
ments  carefully  every  month,  because  the  thieves  might—
and often do—acquire new credit cards unbeknownst to the 
victim.) This reveals a material factual dispute on such mat‐
8                                                          No. 14‐3122 

ters as the class members’ experiences and both the content 
of, and the universality of, bank reimbursement policies.  
    Clapper  does  not,  as  the  district  court  thought,  foreclose 
any  use  whatsoever  of  future  injuries  to  support  Article  III 
standing. In Clapper, the Supreme Court decided that human 
rights  organizations  did  not  have  standing  to  challenge  the 
Foreign  Intelligence  Surveillance  Act  (FISA)  because  they 
could  not  show  that  their  communications  with  suspected 
terrorists were intercepted by the government. The plaintiffs 
only suspected that such interceptions might have occurred. 
This,  the  Court  held,  was  too  speculative  to  support  stand‐
ing. In so ruling, however, it did not jettison the “substantial 
risk” standard. To the contrary, it stated that “[o]ur cases do 
not  uniformly require  plaintiffs to demonstrate  that  it is  lit‐
erally  certain  that  the  harms  they  identify  will  come  about. 
In some instances, we have found standing based on a ‘sub‐
stantial  risk’  that  the  harm  will  occur,  which  may  prompt 
plaintiffs to  reasonably  incur costs to mitigate or  avoid that 
harm.” 133 S. Ct. at 1150 n.5 (2013) (citation omitted). 
    In a data breach case similar to ours, a district court per‐
suasively  applied  these  principles,  including  Clapper’s 
recognition  that  a  substantial  risk  will  sometimes  suffice  to 
support  Article  III  standing.  “Unlike  in  Clapper,  where  re‐
spondents’  claim that they  would suffer  future  harm rested 
on  a  chain  of  events  that  was  both  ‘highly  attenuated’  and 
‘highly  speculative,’  the  risk  that  Plaintiffs’  personal  data 
will  be  misused  by  the  hackers  who  breached  Adobe’s  net‐
work is immediate and very real.” In re Adobe Sys., Inc. Priva‐
cy  Litig.,  No.  13–CV–05226–LHK,  2014  WL  4379916,  at  *8 
(N.D.  Cal.  Sept.  4,  2014)  (citing  Clapper,  133  S.  Ct.  at  1148). 
Our  case  is  much  the  same.  The  plaintiffs  allege  that  the 
No. 14‐3122                                                                9 

hackers deliberately targeted Neiman Marcus in order to ob‐
tain their credit‐card information. Whereas in Clapper, “there 
was  no  evidence  that  any  of  respondents’  communications 
either had been or would be monitored,” in our case there is 
“no  need  to  speculate  as  to  whether  [the  Neiman  Marcus 
customers’]  information  has  been  stolen  and  what  infor‐
mation  was  taken.”  Id.  (citing  Clapper,  133  S.  Ct.  at  1148). 
Like  the  Adobe  plaintiffs,  the  Neiman  Marcus  customers 
should  not  have  to  wait  until  hackers  commit  identity  theft 
or  credit‐card  fraud  in  order  to  give  the  class  standing,  be‐
cause  there  is  an  “objectively  reasonable  likelihood”  that 
such an injury will occur. Clapper, 133 S. Ct. at 1147. 
    Requiring the plaintiffs “to wait for the threatened harm 
to materialize in order to sue” would create a different prob‐
lem:  “the  more  time that  passes  between  a  data  breach  and 
an  instance  of  identity  theft,  the  more  latitude  a  defendant 
has to argue that the identity theft is not ‘fairly traceable’ to 
the  defendant’s  data  breach.”  In  re  Adobe  Sys.,  2014  WL 
4379916, at *8 n.5. Neiman Marcus has made just that argu‐
ment here. The point is best understood as a challenge to the 
causation requirement of standing, to which we turn shortly.  
    At  this  stage  in  the  litigation,  it  is  plausible  to  infer  that 
the plaintiffs have shown a substantial risk of harm from the 
Neiman Marcus data breach. Why else would hackers break 
into  a  store’s  database  and  steal  consumers’  private  infor‐
mation?  Presumably,  the  purpose  of  the  hack  is,  sooner  or 
later,  to  make  fraudulent  charges  or  assume  those  consum‐
ers’ identities. The plaintiffs are also careful to say that only 
9,200  cards  have  experienced  fraudulent  charges  so  far;  the 
complaint  asserts  that  fraudulent  charges  and  identity  theft 
can occur long after a data breach. It cites a Government Ac‐
10                                                         No. 14‐3122 

countability  Office  Report  that  finds  that  “stolen  data  may 
be held for up to a year or more before being used to commit 
identity  theft.  Further,  once  stolen  data  have  been  sold  or 
posted on  the Web, fraudulent use  of  that  information may 
continue  for  years.”  U.S.  GOV’T  ACCOUNTABILITY  OFFICE, 
GAO‐07‐737,  REPORT  TO  CONGRESSIONAL  REQUESTERS: 
PERSONAL  INFORMATION  29 (2007). (This suggests that on re‐
mand the district court may wish to look into length of time 
that  a  victim  is  truly  at  risk;  the  GAO  suggests  at  least  one 
year,  but  more  data  may  shed  light  on  this  question.)  We 
recognize  that  the  plaintiffs  may  eventually  not  be  able  to 
provide an adequate factual basis for the inference, but they 
had no such burden at the pleading stage. Their allegations 
of future injury are sufficient to survive a 12(b)(1) motion. 
    In addition to the alleged future injuries, the plaintiffs as‐
sert  that  they  have  already  lost  time  and  money  protecting 
themselves  against  future  identity  theft  and  fraudulent 
charges. Mitigation expenses do not qualify as actual injuries 
where  the  harm  is  not  imminent.  Clapper,  133  S.  Ct.  at  1152 
(concluding that “costs that they have incurred to avoid [in‐
jury]”  are insufficient to confer standing). Plaintiffs “cannot 
manufacture  standing  by  incurring  costs  in  anticipation  of 
non‐imminent harm.” Id. at 1155. “If the law were otherwise, 
an  enterprising  plaintiff  would  be  able  to  secure  a  lower 
standard  for  Article  III  standing  simply  by  making  an  ex‐
penditure based on a nonparanoid fear.” Id. at 1151. 
     Once  again,  however,  it  is  important  not  to  overread 
Clapper.  Clapper  was  addressing  speculative  harm  based  on 
something that may not even have happened to some or all 
of  the  plaintiffs.  In  our  case,  Neiman  Marcus  does  not  con‐
test  the  fact  that  the  initial  breach  took  place.  An  affected 
No. 14‐3122                                                            11 

customer, having  been  notified  by  Neiman  Marcus  that  her 
card is at risk, might think it necessary to subscribe to a ser‐
vice that offers monthly credit monitoring. It is telling in this 
connection  that  Neiman  Marcus  offered  one  year  of  credit 
monitoring and identity‐theft protection to all customers for 
whom  it  had  contact  information  and  who  had  shopped  at 
their stores between January 2013 and January 2014. It is un‐
likely  that  it  did  so  because  the  risk  is  so  ephemeral  that  it 
can  safely  be  disregarded.  These  credit‐monitoring  services 
come  at  a  price  that  is  more  than  de  minimis.  For  instance, 
Experian  offers  credit  monitoring  for  $4.95  a  month  for  the 
first  month,  and  then  $19.95  per  month  thereafter.  See 
http://www.experian.com/consumer‐products/credit‐monito
ring.html. That easily qualifies as a concrete injury. It is also 
worth noting that our analysis is consistent with that in An‐
derson v. Hannaford Bros. Co., where the First Circuit held be‐
fore Clapper that the plaintiffs sufficiently alleged mitigation 
expenses—namely, the fees for replacement cards and moni‐
toring  expenses—because  under  Maine  law,  a  plaintiff  may 
“recover  for  costs  and  harms  incurred  during  a  reasonable 
effort  to  mitigate,  regardless  of  whether  the  harm  is  non‐
physical.” 659 F.3d 151, 162 (1st Cir. 2011).  
    For the sake of completeness, we comment briefly on the 
other asserted injuries. They are more problematic. We need 
not  decide  whether  they  would  have  sufficed  for  standing 
on  their  own,  but  we  are  dubious.  The  plaintiffs  argue,  for 
example,  that  they  overpaid  for  the  products  at  Neiman 
Marcus because the store failed to invest in an adequate se‐
curity system. In some situations, we have held that financial 
injury  in  the  form  of  an  overcharge  can  support  Article  III 
standing.  See  In  re  Aqua  Dots  Products  Liab.  Litig.,  654  F.3d 
748, 751 (7th Cir. 2011) (“The plaintiffs’ loss is financial: they 
12                                                         No. 14‐3122 

paid  more  for  the  toys  than  they  would  have,  had  they 
known  of  the  risks  the  beads  posed  to  children.  A  financial 
injury  creates  standing.”)  (citations  omitted).  District  courts 
have  applied  this  approach  to  comparable  situations.  See, 
e.g.,  Chicago  Faucet  Shoppe,  Inc.  v.  Nestle  Waters  N.  Am.  Inc., 
No. 12 C 08119, 2014 WL 541644, at *3 (N.D. Ill. Feb. 11, 2014) 
(citing Aqua Dots); Muir v. Playtex Products, LLC, 983 F. Supp. 
2d  980,  986  (N.D.  Ill.  2013)  (holding  that  a  claim  that  con‐
sumer would not have purchased product or not have paid a 
premium  price  for  the  product  is  sufficient  injury  to  estab‐
lish standing).  
     Importantly, many of those cases involve products liabil‐
ity claims against defective or dangerous products. See, e.g., 
Lipton v. Chattem, Inc. No. 11 C 2952, 2012 WL 1192083, at *3–
4  (N.D.  Ill.  Apr.  10,  2012).  Our  case  would  extend  that  idea 
from a particular product to the operation of the entire store: 
plaintiffs allege that they would have shunned Neiman Mar‐
cus  had  they  known  that  it  did  not  take  the  necessary  pre‐
cautions  to  secure  their  personal  and  financial  data.  They 
appear  to  be  alleging  some  form  of  unjust  enrichment  as 
well:  Neiman  Marcus  sold  its  products  at  premium  prices, 
but instead of taking a portion of the proceeds and devoting 
it to cybersecurity, the company pocketed too much. This is 
a step that we need not, and do not, take in this case. Plain‐
tiffs do not allege any defect in any product they purchased; 
they assert instead that patronizing Neiman Marcus inflicted 
injury  on  them.  Compare  Resnick  v.  AvMed,  Inc.,  693  F.3d 
1317,  1328  (11th  Cir.  2012)  (reasoning  that  the  plaintiff  had 
financial injury from paying higher premiums in light of de‐
fendant’s failure to implement security policies). That allega‐
tion  takes  nothing away  from  plaintiffs’ more concrete  alle‐
No. 14‐3122                                                        13 

gations  of  injury,  but  it  is  not  necessary  to  support  their 
standing. 
    The plaintiffs also allege that they have a concrete injury 
in the loss of their private information, which they character‐
ize  as  an  intangible  commodity.  Under  this  theory,  persons 
who  had  unauthorized  credit  charges  would  have  standing 
even  if  they  were  automatically  reimbursed,  their  identities 
were  not  stolen,  and  they  could  not  show  that  there  was  a 
substantial  risk  of  lack  of  reimbursement  or  further  use  of 
their  information.  This  assumes  that  federal  law  recognizes 
such a property right. Plaintiffs refer us to no authority that 
would  support  such  a  finding.  We  thus  refrain  from  sup‐
porting  standing  on  such  an  abstract  injury,  particularly 
since the complaint does not suggest that the plaintiffs could 
sell their personal information for value. 
     The plaintiffs counter that recently‐enacted state statutes 
make this right to personal information concrete enough for 
standing.  They  are  correct  to  the  extent  they  suggest  that 
“the  actual  or  threatened  injury  required  under  Article  III 
can  be  satisfied  solely  by  virtue  of  an  invasion  of  a  recog‐
nized state‐law right.” Scanlan v. Eisenberg, 669 F.3d 838, 845 
(7th  Cir.  2012)  (citation  omitted).  The  plaintiffs  argue  that 
Neiman  Marcus  violated  California  and  Illinois’s  Data 
Breach  Acts  by  impermissibly  delaying  the  notifications  of 
the data breach. That may be (we express no opinion on the 
point), but even if it is, the violation does not help the plain‐
tiffs. Neither of those statutes provides the basis for finding 
an injury for Article III standing. As for California law, a de‐
lay in notification is not a cognizable injury, Price v. Starbucks 
Corp., 192 Cal. App. 4th 1136, 1143 (Cal. Ct. App. 2011), and 
the Illinois Consumer Fraud Act requires “actual damages.” 
14                                                      No. 14‐3122 

People ex rel. Madigan v. United Constr. of Am., Inc., 981 N.E.2d 
404,  411  (Ill.  App.  Ct.  2012).  None  of  the  other  state‐law 
claims  has  been  discussed  by  the  parties,  and  so  we  too  do 
not address them. 
     To  sum  up,  we  refrain  from  deciding  whether  the  over‐
payment for Neiman Marcus products and the right to one’s 
personal information  might suffice  as injuries under Article 
III. The injuries associated with resolving fraudulent charges 
and protecting oneself against future identity theft do. These 
injuries are sufficient to satisfy the first requirement of Arti‐
cle III standing. 
                                  B 
    Injury‐in‐fact  is  only  one  of  the  three  requirements  for 
Article  III  standing.  Plaintiffs  must  also  allege  enough  in 
their complaint to  support the other  two prerequisites: cau‐
sation  and  redressability.  As  the  Supreme  Court  put  it  in 
Clapper,  plaintiffs  must  “show[ ]  that  the  defendant’s  actual 
action has caused the substantial risk of harm.” 133 S. Ct. at 
1150, n.5. Neiman Marcus argues that these plaintiffs cannot 
show that their injuries are traceable to the data incursion at 
the  company  rather  than  to  one  of  several  other  large‐scale 
breaches  that  took  place  around  the  same  time.  This  argu‐
ment  is  reminiscent  of  Summers  v.  Tice,  199  P.2d  1,  5  (Cal. 
1948),  in  which  joint  liability  was  properly  pleaded  when, 
during a quail hunt on the open range, the plaintiff was shot, 
but he did not know which defendant had shot him. Under 
those  circumstances,  the  Supreme  Court  of  California  held, 
the  burden  shifted  to  the  defendants  to  show  who  was  re‐
sponsible. Neiman Marcus apparently rejects such a rule, but 
we think that this debate has no bearing on standing to sue; 
No. 14‐3122                                                             15 

at most, it is a legal theory that Neiman Marcus might later 
raise as a defense. 
     The  fact  that  Target  or  some  other  store  might  have 
caused the plaintiffs’ private information to be exposed does 
nothing to negate the plaintiffs’ standing to sue. It is certain‐
ly  plausible  for  pleading  purposes  that  their  injuries  are 
“fairly traceable” to the data breach at Neiman Marcus. See 
In  re  Target  Corp.  Data  Sec.  Breach  Litig.,  MDL  No.  14–2522 
(PAM/JJK), 2014 WL 7192478, at *2 (D. Minn. Dec. 18, 2014) 
(“Plaintiffs’  allegations  plausibly  allege  that  they  suffered 
injuries that are ‘fairly traceable’ to Targetʹs conduct. This is 
sufficient  at  this  stage  to  plead  standing.  Should  discovery 
fail  to  bear  out  Plaintiffs’  allegations,  Target  may  move  for 
summary  judgment  on  the  issue.”).  If  there  are  multiple 
companies  that  could  have  exposed  the  plaintiffs’  private 
information  to  the  hackers,  then  “the  common  law  of  torts 
has long shifted the burden of proof to defendants to prove 
that their negligent actions were not the ‘but‐for’ cause of the 
plaintiff’s  injury.” Price  Waterhouse  v.  Hopkins,  490  U.S.  228, 
263  (1989)  (O’Connor,  J.  concurring)  (citing  Summers,  199 
P.2d  at  3–4).  It  is  enough  at  this  stage  of  the  litigation  that 
Neiman  Marcus  admitted  that  350,000  cards  might  have 
been  exposed  and  that  it  contacted  members  of  the  class  to 
tell them they were at risk. Those admissions and actions by 
the store adequately raise the plaintiffs’ right to relief above 
the speculative level. See Bell Atl. Corp. v. Twombly, 550 U.S. 
544, 570 (2007). 
   With  respect  to  standing,  Neiman  Marcus  finally  argues 
that the plaintiffs’ injuries cannot be redressed by a judicial 
decision because they already have been reimbursed for the 
fraudulent  charges.  That  may  be  true  for  the  fraudulent 
16                                                      No. 14‐3122 

charges (the plaintiffs do not allege that any of those charges 
went unreimbursed), but it is not true for the mitigation ex‐
penses  or  the  future  injuries.  Although  some  credit  card 
companies  offer  some  customers  “zero  liability”  policies, 
under  which  the  customer  is  not  held  responsible  for  any 
fraudulent  charges,  that  practice  defeats  neither  injury‐in‐
fact nor redressability. The “zero liability” feature is a busi‐
ness  practice,  not  a  federal  requirement.  Under  15  U.S.C. 
§ 1643, a consumer’s liability for the unauthorized use of her 
credit card may not exceed $50 if she does not report the loss 
before  the credit card is  used.  If she notifies the card issuer 
before any use, she is not responsible for any charges she did 
not  authorize.  Debit  cards  (used  by  several  of  the  named 
plaintiffs)  receive  less  protection  than  credit  cards;  the  for‐
mer are covered under the Electronic Funds Transfer Act, 15 
U.S.C. § 1693 et seq., and the latter under the Truth in Lend‐
ing Act as amended by the Fair Credit Billing Act, 15 U.S.C. 
§ 1601 et seq. If a person fails to report to her bank that mon‐
ey has been taken from her debit card account more than 60 
days after she receives the statement, there is no limit to her 
liability and she could lose all the money in her account. In 
any  event,  as  we  have  noted,  reimbursement  policies  vary. 
For the plaintiffs, a favorable judicial decision could redress 
any injuries caused by less than full reimbursement of unau‐
thorized charges.  
                                  C 
    Neiman Marcus attempts to argue in the alternative that 
the plaintiffs failed to state a claim upon which relief can be 
granted. FED. R. CIV. P. 12(b)(6). Their problem is that the dis‐
trict court did not reach this ground, and that the ground on 
which  it  resolved  the  case  (Article  III  standing)  necessarily 
No. 14‐3122                                                        17 

resulted in a dismissal without prejudice. A dismissal under 
Rule  12(b)(6),  in  contrast,  is  a  dismissal  with  prejudice.  If 
Neiman Marcus had wanted this additional relief, it needed 
to file a cross‐appeal. See Jennings v. Stephens, 135 S. Ct. 793, 
798  (2015)  (“[A]n  appellee  who  does  not  cross‐appeal  may 
not attack the decree with a view either to enlarging his own 
rights  thereunder  or  of  lessening  the  rights  of  his  adver‐
sary.”)  (citation  and  quotation  marks  omitted).  Since  it  did 
not,  the  question  whether  this  complaint  states  a  claim  on 
which relief can be granted is not properly before us.  
    We therefore conclude that the plaintiffs have adequately 
alleged  standing  under  Article  III.  The  district  court’s  judg‐
ment is REVERSED and the case is REMANDED for further pro‐
ceedings consistent with this opinion.