Гостиница хранит данные гостей как оператор персональных данных: доступ к базе бронирований и копиям паспортов должен быть только у сотрудников, которым это нужно по должности - администратор на ресепшене, служба безопасности, - а не у всего персонала со свободным доступом к общей папке. Сами данные вы обязаны передавать в миграционный учет по закону, а вот для любых других целей, например маркетинговых рассылок или передачи данных партнерам, нужно отдельное согласие гостя.
База данных гостей - граждан России должна физически находиться на серверах в России, это требование локализации касается и облачных систем бронирования: если вы используете стороннюю платформу для брони номеров, стоит уточнить у нее, где расположены серверы. С самим поставщиком системы бронирования должен быть заключен договор, определяющий, что именно он делает с данными ваших гостей как обработчик.
Срок хранения копий паспортов после выезда гостя определяет не 152-ФЗ, а миграционное и бухгалтерское законодательство - обычно это дольше, чем «пока гость живет в номере», и удалять данные раньше положенного срока не стоит даже по просьбе гостя. А вот когда законный срок хранения истек, данные нужно уничтожить, а не оставлять в архиве на всякий случай.
Отдельно проверьте форму на сайте, где гость бронирует номер онлайн: если там собираются телефон и почта еще до заселения, это тоже персональные данные, и на сайте должна быть политика конфиденциальности, а на форме - согласие на обработку.