IDFAとは？AAID・Cookieとの違いと個人情報の扱いを解説

デジタルマーケティング

2025.08.28

IDFAとは？AAID・Cookieとの違いと個人情報の扱いを解説

サードパーティCookieの規制が進み、ウェブ広告では「誰に配信し、何が成果につながったか」を把握しにくくなりました。アプリ広告でも同じ変化が起きています。その中心にあるのが、iPhoneの広告用識別子であるIDFAです。

IDFAは、2021年のiOS 14.5から、利用者の許可がないと取得できなくなりました。この記事では、IDFAの仕組みとAAID・Cookie・IDFVとの違いを整理します。

そのうえで、個人情報保護法での扱い、確認方法、ATT後の広告計測の組み立て方を解説します。仕様と法令は、AppleとGoogleの公式ドキュメント、個人情報保護委員会と総務省の資料で確認しています。

IDFAとは？Appleが発行する広告用の識別子

IDFA（Identifier for Advertisers）は、AppleがiPhoneやiPadなどの端末ごとに割り当てる広告用の識別子です。Appleの開発者向けドキュメントでは、端末ごとに固有の英数字の文字列で、広告のためだけに使うものと説明されています。

形式は「XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX」のようなUUIDです。氏名やメールアドレスは含まれていません。

ただし同じ端末なら、別々の会社のアプリでも同じ値を読み取れます。この性質があるため、アプリをまたいだ広告配信や効果測定に使われてきました。

IDFAでできること

Appleは、IDFAの用途として表示回数の上限設定やアトリビューション（どの広告が成果につながったかの特定）を挙げています。コンバージョン計測、ユニークユーザー数の推計、広告不正の検知も用途に含まれます。

広告主から見ると、「広告を見た人」と「アプリで購入した人」を同じ端末として結び付けられる点が重要です。この結び付けができると、成果の出た広告に予算を寄せられます。購入済みの人を配信対象から外すこともできます。

ATTの同意がないと値はすべてゼロになる

iOS 14.5・iPadOS 14.5以降では、アプリはIDFAを取得する前に利用者の許可を求めなければなりません。その仕組みがATT（App Tracking Transparency）です。

許可がない場合、IDFAは「00000000-0000-0000-0000-000000000000」というゼロの値で返ります。

Appleのドキュメントでは、ゼロが返る場面として次のものが挙げられています。

  • アプリがATTで許可を求めていない場合
  • 利用者が許可を求められて拒否した場合
  • 構成プロファイルなどでIDFAへのアクセスが制限されている場合
  • シミュレーターやmacOS上で動かした場合

つまり現在のIDFAは、「許可した人の端末でだけ実際の値が読める識別子」です。

IDFAとAAID・Cookie・IDFVの違い

IDFAと混同されやすい識別子が3つあります。Androidの広告ID（AAID）、ウェブのCookie、Appleが別に用意しているIDFVです。違いを、発行元・使われる場所・利用者が止める方法の3つの軸で整理します。

識別子発行元使われる場所利用者が止める方法
IDFAAppleiPhone・iPadのアプリATTの確認で許可しない、または設定でトラッキングを止める
AAID（Google 広告ID）GoogleAndroidのアプリ設定から広告IDをリセット・削除する
Cookie閲覧しているサイトや広告事業者ウェブブラウザブラウザの設定でCookieを削除・ブロックする
IDFVApple同じ開発元のアプリ間同じ開発元のアプリをすべて削除し、再インストールすると値が変わる

AAID（GAID・ADID）との違い

AAIDは、Googleが Google Play 開発者サービスを通じて提供するAndroidの広告IDです。Googleは「Google 広告 ID」と呼んでいます。業界ではGAID（Google Advertising ID）やADID（Advertising ID）と表記されることもあり、指しているものはほぼ同じです。

IDFAとの大きな違いは、同意の扱いです。iOSでは、アプリが許可を得るまで値が読めません。Androidでは、利用者が自分で削除やリセットをしない限り、アプリは広告IDを読み取れます。

Googleによると、利用者が広告IDを削除すると、アプリには値の代わりにゼロの文字列が返ります。この仕組みは2021年後半にAndroid 12から始まり、2022年4月1日にGoogle Play対応の全端末へ広がりました。

一方で、Googleはアプリ側の使い方を細かく制限しています。Google Playのポリシーでは、広告IDを個人を特定できる情報と結び付けられるのは、利用者の明示的な同意がある場合だけです。

リセット前の広告IDやそのデータを、新しい広告IDと勝手に結び付けることも禁止されています。またAndroid 13以降を対象にしたアプリは、マニフェストでAD_ID権限を宣言する必要があります。

Cookieとの違い

Cookieはウェブブラウザに保存される小さなデータで、ウェブサイトの閲覧を識別するために使われます。IDFAはアプリで使う識別子です。同じiPhoneでも、Safariで見たサイトの行動とアプリ内の行動は、別々の識別子で記録されます。

もう1つの違いは、識別子が作られる単位です。Cookieはブラウザとドメインの組み合わせごとに作られます。IDFAは端末に1つで、許可を得たアプリであれば同じ値を読み取れます。

ウェブ側ではブラウザのCookie規制が進み、アプリ側ではATTが導入されました。どちらの経路でも、広告事業者が同じ人の行動をつなぎ合わせることが難しくなっています。

IDFVとの違い

IDFV（Identifier for Vendor）は、同じ開発元のアプリの間で共通になる識別子です。たとえば同じ会社が出している2つのアプリでは、同じ端末なら同じIDFVが返ります。

Appleは、IDFVを同じ開発元のアプリをまたいだ分析に使う場合、ATTの許可は不要としています。ただし、IDFVをほかの会社のアプリやサイトのデータと結び付けて追跡に使うことは禁止しています。IDFAの代わりとして他社のデータと照合する用途には使えません。

ATT（App Tracking Transparency）でIDFAはどう変わったか

ATTは、アプリが利用者を「トラッキング」する前に許可を求めることを義務付けたAppleの仕組みです。ここでは、ATTが求めるルール、同意の取り方、広告運用への影響を順に整理します。

iOS 14.5から許可が必須になった

Appleは2021年4月26日にiOS 14.5を公開しました。このバージョンから、アプリが利用者をトラッキングする場合や、IDFAを取得する場合には、ATTによる許可が必須になりました。

Appleの定義では、トラッキングとは次の行為を指します。

  • 自社アプリで集めたデータを、他社のアプリやウェブサイト、オフラインのデータと結び付けて、ターゲティング広告や広告効果の測定に使うこと
  • 利用者や端末のデータをデータブローカーと共有すること

たとえば、メールアドレスやIDFAのリストを広告ネットワークに渡し、他社アプリでのリターゲティングや類似ユーザーの抽出に使う行為はトラッキングに当たります。

アプリに組み込んだ他社のSDKが、集めたデータを他社アプリのデータと結び付けて広告に使う場合も同じ扱いです。自社がその目的で使っていなくても、許可が必要になります。

反対に、データを端末の中だけで結び付け、識別できる形で端末の外に送らない場合は、トラッキングに当たりません。

端末の設定や通信環境などの情報を組み合わせて端末を特定する方法（フィンガープリンティング）は禁止されています。違反したアプリや、違反するSDKを使ったアプリは、App Storeの審査で却下されることがあります。

同意（オプトイン）の仕組み

アプリは、AppleのATTの仕組みを使って、利用者に許可を求めるダイアログを表示します。ダイアログには、アプリが用意した「なぜトラッキングしたいのか」という説明文が表示されます。

この説明文の設定（NSUserTrackingUsageDescription）がないと、ダイアログを出すAPIは使えません。

利用者が「Appにトラッキングしないように要求」を選んだ場合、そのアプリにはゼロのIDFAが返ります。許可はあとから設定で変更できます（手順は後述の「iPhoneの場合」で紹介します）。

EU域内ではルールが一部異なり、許可・拒否の選択から1年たつと、アプリは再び許可を求められます。Appleは、iOS 27.2以降のEU向けに、表示を変えた別のダイアログを用意するとも公表しています。いずれも日本の利用者には関係しない変更です。

広告運用への影響

ATTの導入後、許可しなかった利用者の端末では、広告事業者がIDFAを使って次のことをできなくなりました。

  • リターゲティング：自社アプリやサイトを使った人を、他社アプリの広告枠で追いかけて配信する
  • 個人単位の効果測定：広告を見た端末と、インストールや購入をした端末を突き合わせる
  • 類似ユーザーの抽出：成果を出した人のIDFAリストをもとに、似た人を探して配信する

その結果、広告管理画面に表示されるコンバージョンが実際より少なくなります。広告AIは、計測されたコンバージョンをもとに入札や配信先を学習します。

計測から漏れる成果が増えると、学習の精度も下がります。ATTへの対応は、許可を求める工夫だけでなく、IDFAに頼らない計測を組み合わせることが前提になります（後述の「ATT後の広告計測はどう組み立てるか」で解説します）。

IDFAは個人情報にあたるか

IDFAには氏名もメールアドレスも含まれていません。それでも、個人情報保護法と電気通信事業法の両方で、取り扱いのルールに関係します。

ここでは、IDFAを広告や分析に使う企業が押さえておきたい点を整理します。なお、実際の判断は事業の実態によって変わるため、個別の案件は専門家に確認してください。

IDFA単体なら「個人関連情報」として扱われることが多い

個人情報保護法の「個人情報」は、特定の個人を識別できる情報です。他の情報と容易に照合でき、それによって特定の個人を識別できる情報も含まれます。

個人情報保護委員会のガイドラインによると、「容易に照合できる」かどうかは事業者の実態に即して個別に判断されます。

目安は、通常の業務で使う一般的な方法で照合できるかどうかです。他の事業者に問い合わせなければ照合できない状態は、一般に「容易に照合できない」とされています。

IDFAだけを持っていて、自社の顧客情報と結び付けていない場合、通常は特定の個人を識別できません。この場合のIDFAとそれに結び付いた行動データは、「個人関連情報」として扱われることが多くなります。

個人関連情報とは、生存する個人に関する情報のうち、個人情報・仮名加工情報・匿名加工情報のどれにも当たらないものです。

ガイドラインは個人関連情報の例に「Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴」を挙げています。購買履歴、位置情報、興味・関心を示す情報も例に含まれます。

一方、自社の会員データベースで、IDFAと氏名やメールアドレスを結び付けて管理している場合は事情が変わります。そのIDFAと行動データは、自社にとって個人情報として扱う必要があります。

第三者に渡すときは「本人の同意の確認」が必要になる

個人関連情報を第三者に渡すときには、個人情報保護法第31条のルールがかかります。提供先が、受け取った情報を個人データとして取得することが想定される場合です。たとえば、提供先が自社の顧客データと結び付ける予定がある場合がこれに当たります。

このとき提供元は、提供先が本人の同意を得ていることなどを確認しないと、その情報を渡せません。IDFAに結び付いた行動データを広告事業者やデータ提供会社に渡す場合は、提供先でどう使われるかを事前に確認しておく必要があります。

電気通信事業法の外部送信規律

2023年6月16日に施行された改正電気通信事業法では、「外部送信規律」というルールが設けられました。アプリやウェブサイトから、利用者の情報を第三者へ送るプログラムを動かす場合に、送る情報の内容などを利用者が確認できるようにするルールです。

対象の事業者は、次の事項を通知するか、利用者が容易に知り得る状態に置く必要があります。

  • 送信される利用者の情報の内容
  • その情報を取り扱う者の氏名または名称
  • その情報の利用目的

通知・公表のほかに、同意の取得やオプトアウト（利用者が送信の停止を求められる仕組み）で対応する方法もあります。広告SDKや計測SDKを組み込んだアプリは、IDFAなどの情報を広告事業者へ送ることがあるため、対応の要否を確認してください。

ただし総務省は、自社商品のオンライン販売や企業のホームページ運営は電気通信事業に当たらず、対象外だとしています。対象かどうかは、総務省のフローチャートやFAQで確認できます。

法律とは別に、AppleとGoogleの規約にも従う必要があります。規約の内容は、前述の「AAIDとの違い」と「iOS 14.5から許可が必須になった」で紹介したとおりです。

IDFA・広告IDの確認方法とトラッキングの止め方

自分の端末で、トラッキングの許可状況を確認したり、止めたりする方法を整理します。

iPhoneの場合

iPhoneでは、「設定」→「プライバシーとセキュリティ」→「トラッキング」の画面で許可状況を確認できます。この画面には、許可を求めたアプリが一覧で表示されます。アプリごとにオン・オフを切り替えられます。

すべてのアプリからの許可の求めを止めたい場合は、同じ画面の「Appからのトラッキング要求を許可」をオフにします。オフにすると、アプリは許可を求めるダイアログを出せなくなり、拒否と同じ扱いになります。

なお、Appleのサポートページには、IDFAの値そのものを表示する手順は載っていません。アプリ開発者が値を確認したい場合は、テスト用の端末で自社アプリにATTの許可を与えたうえで、アプリ側から取得して確認するのが一般的です。

Androidの場合

Androidでは、設定アプリから広告IDをリセットしたり、削除したりできます。Googleのヘルプでは、Android 6.0以上は「設定」→「Google」→「広告」から操作すると案内されています。ただし、表示される項目名や場所は端末やOSのバージョンによって異なります。

リセットすると、現在の広告IDが新しいランダムな値に置き換わります。削除すると、アプリにはゼロの文字列が返るようになります。

ATT後の広告計測はどう組み立てるか

IDFAが取れる利用者が限られる以上、広告の計測は複数の方法を組み合わせて組み立てる必要があります。ここでは、IDFAに頼らない3つの方法を紹介します。

AdAttributionKit・SKAdNetworkで集計値として計測する

AdAttributionKitは、Appleが提供する広告アトリビューションの仕組みで、iOS 17.4から使えます。前身のSKAdNetworkと同じく、広告がインストールや再エンゲージメントにつながったかを、個人を特定しない形で広告ネットワークに通知します。

Appleによると、この通知（ポストバック）には利用者や端末を特定するデータが含まれず、ATTの許可の有無にかかわらず使えます。

そのため、許可しなかった利用者を含めて、キャンペーン単位の成果を把握できます。個人単位の分析やリターゲティングには使えない点に注意が必要です。

コンバージョンAPIでサーバーから成果を送る

ウェブやアプリの外で発生した成果は、コンバージョンAPIで広告媒体へ直接送れます。自社のサーバーから、ハッシュ化したメールアドレスや電話番号などと一緒に成果を送る方法です。

端末側の識別子が取れなくても、広告媒体の会員情報と照合して成果を広告に結び付けられます。

送る情報に個人データが含まれる場合は、前述の個人情報保護法のルールに沿って、利用目的の明示や同意の取得を行ってください。具体的な導入手順は、コンバージョンAPIの解説記事で媒体ごとに説明しています。

同意を得たファーストパーティデータを計測の土台にする

ファーストパーティデータとは、自社サイトの行動履歴、会員情報、問い合わせ・購買の記録など、自社が利用者から直接集めたデータです。利用目的を示して同意を得ていれば、ATTやCookie規制の影響を受けにくい計測の土台になります。

ファーストパーティデータを広告に生かす代表的な使い方は次のとおりです。

  • 購入済みの顧客を広告の配信対象から外す
  • 成約につながった顧客の特徴をもとに、似た人へ配信する
  • 成約の金額や確度に応じてコンバージョンに価値を付け、広告AIの入札に反映する

データを統合する方法はファーストパーティデータの解説記事、顧客リストを使った配信はカスタムオーディエンスの記事で紹介しています。他社データと安全に突き合わせる方法はデータクリーンルームの記事を参考にしてください。

よくある質問

IDFAについて、よく寄せられる質問に答えます。

IDFAとADIDは同じものですか？

同じではありません。IDFAはAppleがiPhoneなどに割り当てる広告用の識別子です。ADIDは「Advertising ID（広告ID）」の略で、Androidの広告ID（AAID・Google 広告ID）を指して使われることが多い表記です。

どちらも「端末ごとの広告用の識別子」という役割は共通していますが、発行元と同意の扱いが異なります。

トラッキングを拒否すると広告は表示されなくなりますか？

広告そのものは表示されます。ATTが止めるのは、アプリのデータを他社のアプリやサイトのデータと結び付けて広告や効果測定に使うことです。

拒否した場合は、他社のデータをもとに配信先を選ぶ広告が出せなくなります。そのぶん、表示される広告が自分の関心と合わないことが増える場合があります。

まとめ

IDFAは、AppleがiPhoneなどに割り当てる広告用の識別子です。iOS 14.5以降は、ATTで利用者の許可を得た場合だけ実際の値が読み取れます。

Androidの広告ID（AAID）は利用者が削除しない限り読み取れる点でIDFAと異なりますが、Googleも使い方を規約で細かく制限しています。

IDFA単体は個人関連情報として扱われることが多い一方、顧客データと結び付ければ個人情報になります。第三者への提供や広告SDKの利用では、個人情報保護法と外部送信規律のルールを確認してください。

ATT後の広告運用では、IDFAだけに頼らない計測が基本です。AdAttributionKitによる集計計測、コンバージョンAPI、同意を得たファーストパーティデータを組み合わせます。

広告運用のためのデータ基盤なら「オムニデータバンク」

オムニデータバンクは、広告運用に必要なファーストパーティデータだけを収集・管理・運用するマーケティングプラットフォームです。

独自のウェブトラッキングとコールトラッキングでデータを集め、CRMやメールフォームのデータと統合します。統合したデータは、Google・Meta・X・Yahoo!へ配信用セグメントとして渡せます。

  • Cookieに依存しない計測基盤：自社で集めたデータをもとに、広告の成果を計測できます
  • 電話の成果も広告に戻せる：電話で発生した問い合わせや成約を、広告のコンバージョンとして媒体に送れます
  • 成果の価値に応じた重み付け：成約金額や確度に応じてコンバージョンに価値を付け、広告AIの入札に反映できます（VBB）
  • 既存顧客の配信除外とLTV評価：CRMのデータと広告データを紐付け、購入済みの顧客を配信対象から外したり、広告ごとの顧客生涯価値を評価したりできます

月額3万円から利用でき、工事不要で最短5営業日で始められます。コードを書かずに運用できます。IDFAやCookieが取りにくくなった環境で広告の成果を正しく測りたい方は、お気軽にお問い合わせください。

ブログ 一覧へ　>>