De acuerdo con el RGPD, el tratamiento lícito requiere una base jurídica (véase la subsección “Licitud, lealtad y transparencia” en la sección de Principios Básicos de la Parte General de estas Directrices). Si el tratamiento implica el tipo de actividades que se incluyen en el Reglamento sobre la privacidad electrónica, las disposiciones de esta nueva herramienta se aplicarán tan pronto como se apruebe. En la actualidad, el artículo 6 del RGPD define un total de seis bases jurídicas posibles. En el caso del tratamiento de datos procedentes de las redes sociales, es esencial subrayar que los investigadores o innovadores en el ámbito de las TIC deben ser conscientes de que seguramente necesitarán diferentes bases jurídicas para el tratamiento de los datos en el momento de acceder a ellos y en el momento en que realicen su investigación o innovación basada en esos datos. En el primer caso, lo que se necesita es una base legal para obtener los datos de la red social. En el segundo caso, se trata de encontrar una base que permita utilizar los datos, ya adquiridos legítimamente, para fines de investigación. Es esencial señalar que el mero hecho de que los interesados hayan publicado sus datos en espacios públicos en línea no permite su tratamiento. Siguen siendo datos personales, aunque los datos estén disponibles públicamente. La publicación puede servir para evitar la prohibición incluida en el artículo 9.1 del RGPD, si hablamos de datos de categorías especiales, pero no sirve como base jurídica para el tratamiento. Por tanto, las empresas no pueden reutilizar libremente los datos, y no pueden seguir tratándolos sin el conocimiento de los individuos y sin una base adecuada para el tratamiento legal.