Há um fenômeno relevante em curso no direito administrativo brasileiro: a multiplicação de entidades que exercem competências normativas, fiscalizatórias e sancionatórias sem que lei em estrito tenha estabelecido os contornos dessa atuação. Três casos recentes o ilustram com nitidez: a Secex-Consenso do TCU, a ANPD diante das plataformas digitais, e as agências reguladoras no setor de saneamento. Cada um deles revela uma dimensão distinta do mesmo fenômeno. Mas com nuances específicas que precisam ser consideradas.
Primeiro exemplo. A Secretaria de Controle Externo de Solução Consensual e Prevenção de Conflitos do TCU foi criada pela Instrução Normativa 91/2022. Em julho de 2024, o partido Novo ajuizou a ADPF 1.183 perante o STF, contestando a constitucionalidade do ato normativo que instituiu a secretaria.
O argumento central do partido, no caso, é o de que o TCU teria extrapolado suas atribuições constitucionais ao criar, por instrução normativa, uma estrutura de solução consensual de conflitos que influencia diretamente a formatação de políticas públicas, mediante a criação de um controle prévio não previsto na Constituição.
O debate é pertinente. A Constituição não confere ao TCU, de forma explícita, competência para intermediar acordos entre a Administração e o setor privado. Expandir esse mandato, por via de instrução normativa, sem respaldo legislativo expresso, suscita questionamentos sobre os limites do poder regulamentar. Por outro lado, a norma não exige que a validade de acordos administrativos esteja condicionada à homologação do TCU.
A submissão de uma Solicitação de Solução Consensual é voluntária. São as próprias partes envolvidas que provocam a competência do TCU. O problema maior parece ser a coação instrumental – isto é, quais são os incentivos que esse desenho institucional pode criar para obstruir acordos celebrados fora desse canal, em face dos riscos de um controle a posteriori. Um problema que a lei em sentido formal, em si, não resolve.
Segundo exemplo. A Lei 14.026/2020, quando instituiu o novo marco legal do saneamento básico, trouxe uma inovação significativa: municípios que não dispõem de agência reguladora própria podem delegar a regulação dos serviços a qualquer entidade reguladora, inclusive de outros estados da federação, mediante negócio jurídico administrativo.
O que antes era uma competência estatutária – definida por lei, exercida em razão de atribuição legal – passa a ser, em parte, uma competência convencionada, cujo escopo, limites e forma de exercício decorrem em grande medida do instrumento negocial celebrado entre titulares, prestadores do serviço público e as próprias agências. A agência não regula porque a lei a lhe designou uma matéria em caráter geral; ela regula porque as partes assim acordaram, nos termos que elas mesmas estabeleceram.
Terceiro exemplo. O caso mais recente de competência infralegal é o da Autoridade Nacional de Proteção de Dados. Em maio de 2026, a Presidência da República editou os Decretos 12.975/2026 e 12.976/2026, que transferem à ANPD a função de regular, fiscalizar e apurar infrações ao Marco Civil da Internet pelas plataformas digitais, em especial no que se refere às obrigações de moderação de conteúdo que o Supremo Tribunal Federal reconheceu como constitucionalmente exigíveis das plataformas.
A ANPD foi designada como autoridade reguladora independente pela Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018) com uma missão específica: zelar pela proteção de dados pessoais. Agora, por decreto, essa agência passa a exercer competências normativas, fiscalizatórias e sancionatórias sobre um setor inteiro (o das plataformas digitais) em matéria de moderação de conteúdo, em um campo distinto da proteção de dados pessoais. E o faz sem que o Congresso Nacional tenha deliberado sobre o assunto, ainda que as razões para a omissão legislativa sejam discutíveis.
Aqui, diferentemente dos dois casos anteriores, os agentes regulados (as plataformas digitais) não aderiram voluntariamente ao regime, não participaram da definição de seus contornos e não têm qualquer capacidade de rejeitar a submissão à competência da ANPD. A competência é imposta de forma heterônoma, por ato do Poder Executivo, sobre um setor que o próprio legislador, ao deliberar sobre o tema, optou por não regular dessa maneira.
A diferença central entre os três casos pode ser articulada, portanto, a partir de velhos binômios conhecidos no direito administrativo – autoridade versus liberdade; heteronomia versus autonomia.
Nos casos da Secex-Consenso e das agências delegadas no saneamento, a submissão à competência da entidade decorre, de modo mais ou menos direto, de um ato de vontade dos próprios agentes regulados. Eles se submetem às regras porque, de uma forma ou outra, concordaram com o modelo institucional e veem vantagens em se submeter a ele. O consentimento à jurisdição administrativa voluntária pode servir como o fator de legitimação da competência na ausência de um suporte legal expresso.
No caso da ANPD, contudo, esse elemento está ausente. As plataformas digitais não escolheram submeter-se à sua regulação em matéria de moderação de conteúdo. Essa competência lhes foi imposta por decreto, sem que o legislador tivesse deliberado sobre o tema.
Esse é o ponto em que a discussão sobre o princípio da legalidade precisa ser retomada em um Estado de Direito. Conquanto se admita, no campo da juridicidade administrativa, margens mais largas para a inovação na via infralegal, a última fronteira deve ser a atribuição de competências inovadoras às autoridades independentes para ampliar seus poderes de agir sobre a esfera jurídica de terceiros.
A ideia original da legalidade – subordinar o exercício da autoridade a regras legais prévias – não pode ser perdida. Na falta de autonomia privada, a lei segue como o mecanismo de autonomia pública central pelo qual a sociedade, por meio de seus representantes, autoriza o Estado a interferir na esfera de liberdade dos particulares.
Em suma: as competências inovadoras pela via infralegal não são, em si, um problema insuperável. O problema reside quando novas competências heterônomas são criadas, por via infralegal, sem o escrutínio do legislador. Se essa fronteira for ultrapassada, caberá aos juristas o tormentoso desafio para definir o que subsiste como o núcleo duro da legalidade administrativa.