Competências regulatórias infralegais: limites do poder regulamentar

A expansão de entidades administrativas que exercem funções normativas, fiscalizatórias e sancionatórias sem fundamento legislativo expresso revela uma tensão fundamental no direito administrativo brasileiro contemporâneo entre legitimidade jurídica e efetividade administrativa. Três casos recentes — a Secretaria de Controle Externo de Solução Consensual do TCU, as agências reguladoras delegadas no saneamento básico e a atuação da ANPD sobre plataformas digitais — ilustram dimensões distintas de um mesmo fenômeno: a multiplicação de competências infralegais que carecem de respaldo em lei em sentido formal.

Contexto

O fenômeno das competências regulatórias infralegais não é novo, mas sua intensificação evidencia uma crise de legitimação democrática no desenho institucional contemporâneo. Tradicionalmente, o princípio da legalidade — inscrito no art. 37, caput, da Constituição Federal — exige que as atribuições de poder público encontrem fundamento em lei prévia. O poder regulamentar, conforme consolidado na jurisprudência constitucional, limita-se ao desenvolvimento das normas legais já existentes, vedada a criação de obrigações novas e materialmente distintas daquelas previstas em lei.

Todavia, a explosão regulatória dos últimos anos — impulsionada pela complexidade crescente de setores como proteção de dados, plataformas digitais, saneamento e controle interno — criou pressões para que entidades administrativas expandam seu escopo de atuação mediante instrumentos infralegais (instruções normativas, resoluções, diretrizes) sem que o legislador tenha deliberado expressamente sobre os detalhes operacionais. O debate jurídico atual centra-se em identificar até que ponto essa expansão infralegal é tolerable sob o regime constitucional vigente.

O que foi decidido

A análise técnica não repousa em uma decisão judicial específica, mas em uma dissecação estruturada de três modelos institucionais que exemplificam o fenômeno das competências infralegais com distintos graus de legitimação.

Primeiro modelo — Secex-Consenso do TCU. A Secretaria de Controle Externo de Solução Consensual e Prevenção de Conflitos foi instituída pela Instrução Normativa 91/2022, sem que lei específica a autorizasse expressamente. Em julho de 2024, o Partido Novo ajuizou a ADPF 1.183 perante o Supremo Tribunal Federal, arguindo que o TCU extrapolou suas atribuições constitucionais. O argumento central sustenta que a criação, por instrução normativa, de mecanismo de solução consensual de conflitos que condiciona — ainda que indiretamente — a formatação de políticas públicas mediante controle prévio não previsto na Constituição viola o princípio da separação de poderes e o espaço decisório do legislador.

Tecnicamente, a Constituição Federal não confere ao TCU, em seus artigos 70 a 75, competência explícita para homologar ou intermediar acordos administrativos. A função do tribunal restringe-se a exercer o controle externo da administração pública federal e a julgar contas. A submissão, ainda que voluntária, a um novo fluxo de solução consensual cria, por efeito indireto, incentivos para que partes evitem celebrar acordos fora desse canal, em razão dos riscos associados a controles posteriores. Essa "coação instrumental" não é resolvida pelo caráter voluntário da adesão inicial; ela decorre da estrutura de incentivos institucionais criada pela competência infralegal.

Segundo modelo — Agências delegadas no saneamento. A Lei 14.026/2020 introduziu inovação significativa ao permitir que municípios sem agência reguladora própria deleguem a regulação de serviços de saneamento a entidades reguladoras de outros entes federativos, mediante instrumento contratual administrativo. A diferença em relação ao modelo tradicional é fundamental: a competência reguladora deixa de ser estritamente estatutária — decorrente de atribuição legal — e passa a ser convencionada. O escopo, os limites e a forma de exercício dependem do conteúdo do negócio jurídico administrativo celebrado entre titulares, prestadores e agências.

Juridicamente, essa estrutura cria um espaço considerável para que a competência seja moldada pelas partes, dentro dos limites da lei geral de saneamento. A agência regula não porque a lei a atribuiu uma matéria em caráter permanente e irrevogável, mas porque as partes acordaram em delegá-la, nos termos que elas próprias estabeleceram.

Terceiro modelo — ANPD e moderação de conteúdo em plataformas. Em maio de 2026, os Decretos 12.975/2026 e 12.976/2026 transferiram à Autoridade Nacional de Proteção de Dados a função de regular, fiscalizar e apurar infrações ao Marco Civil da Internet cometidas por plataformas digitais, especialmente quanto às obrigações de moderação de conteúdo que o STF reconheceu como constitucionalmente exigíveis. A ANPD foi designada pela Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018) como autoridade reguladora independente para zelar pela proteção de dados pessoais — missão específica e circunscrita.

Agora, por decreto presidencial, essa agência assume competências normativas, fiscalizatórias e sancionatórias sobre um setor inteiro (plataformas digitais) em matéria materialmente distinta (moderação de conteúdo, não proteção de dados). Diferentemente dos dois casos anteriores, as plataformas digitais não aderiram voluntariamente ao regime; não participaram de sua formulação; e não possuem capacidade de rejeitar a submissão. A competência foi imposta heteronomamente, por ato do Poder Executivo, sobre setor que o próprio legislador — ao deliberar sobre o Marco Civil da Internet e sobre a LGPD — optou por regular de forma mais contida e fragmentada.

Base normativa e precedentes

• Art. 37, caput, CF/88 — Princípio da legalidade: a administração pública obedece à lei. Não autoriza a criação de competências materialmente novas sem suporte em lei formal.

• Art. 4º, Lei de Introdução às Normas do Direito Brasileiro (Decreto-Lei 4.657/1942) — O poder regulamentar é delegado e limitado ao desenvolvimento das normas legais já existentes, vedada a criação de obrigações novas.

• Art. 70 a 75, CF/88 — Define as competências do TCU no controle externo. Não menciona intermediação de acordos administrativos ou homologação de conflitos.

• Lei 14.026/2020 — Marco regulatório do saneamento básico. Autoriza expressamente a delegação de competências regulatórias a agências de outros entes federativos mediante instrumento contratual.

• Lei 13.709/2018 (LGPD) — Define a ANPD como autoridade reguladora independente com missão específica de proteção de dados pessoais. Não menciona moderação de conteúdo ou regulação de plataformas digitais em sentido lato.

• Lei 12.965/2014 (Marco Civil da Internet) — Estabelece princípios para internet brasileira. Confere responsabilidades específicas a plataformas e reguladores, mas não transfere expressamente à ANPD a regulação de moderação de conteúdo.

• Jurisprudência consolidada do STF — Entendimento de que o poder regulamentar não pode inovar na ordem jurídica, criando direitos e obrigações não previstos em lei (ex.: STF, ADI 4.096, Rel. Min. Luiz Fux, DJ 28.10.2010).

Impacto prático

Para entidades públicas (TCU, ANPD, agências):

• Risco de ações judiciais contestando a validade e alcance de atos infralegais (como a ADPF 1.183 sobre a Secex-Consenso).
• Pressão para que o legislador delibere expressamente sobre atribuições que, atualmente, repousam em instruções normativas e decretos.
• Possível modulação de efeitos ou invalidação de normativas infralegais caso o STF reconheça extrapolação de competência.

Para agentes regulados (TCU, saneamento, plataformas):

• Incerteza jurídica quanto à validade de obrigações impostas por vias infralegais, especialmente quando não houve consenso prévio (como no caso da ANPD).
• Possibilidade de impugnar atos administrativos por vício de competência, arguindo violação ao princípio da legalidade.
• No saneamento, maior previsibilidade contratual, pois a delegação é negociada; nas plataformas, exposição a regulação imposta unilateralmente.

Para o Congresso Nacional:

• Necessidade de deliberação legislativa sobre temas que entidades administrativas expandem por via de instrumentos infralegais (moderação de conteúdo, saneamento delegado, controle consensual no TCU).
• Risco de esvaziar a função legiferante se a prática de competências infralegais expandidas se consolidar sem resistência legislativa.

O que observar

O elemento central que distingue os três casos é o grau de autonomia e consentimento dos agentes regulados. Na Secex-Consenso e nas agências delegadas no saneamento, há voluntariedade (ainda que com incentivos indiretos). Na ANPD, há imposição heterônoma pura.

Juridicamente, o consentimento à jurisdição administrativa voluntária pode servir como fator de legitimação alternativa à falta de suporte legal expresso — argumento que poderia fortalecer a defesa dos dois primeiros modelos. Contudo, no caso da ANPD, essa legitimação por consentimento não existe. A competência foi imposta por decreto sobre setor que o legislador não regulou dessa maneira.

Os próximos passos incluem: (1) o julgamento da ADPF 1.183 pelo STF, que pode definir os limites constitucionais do poder regulamentar; (2) possível ação do setor de plataformas digitais contestando os Decretos 12.975/2026 e 12.976/2026; (3) deliberação legislativa sobre delegação de competências regulatórias, especialmente em setores sensíveis como plataformas digitais e proteção de dados.

Advogados e consultores devem monitorar o andamento da ADPF 1.183 e estar preparados para arguir vício de competência em decisões de entidades administrativas que expandem atribuições por vias infralegais. Para plataformas digitais, a submissão à ANPD em matéria de moderação de conteúdo é especialmente vulnerável a contestações, dada a ausência de consenso e o caráter heterônomo da imposição.