Паспортные данные - это персональные данные, и работать с ними нужно на тех же общих основаниях: либо по согласию человека, либо потому что этого требует закон или заключаемый с ним договор. Для агентства недвижимости обычно применимо второе основание - копия паспорта нужна для оформления сделки, и отдельное согласие на этот случай не обязательно, но клиента стоит письменно проинформировать, зачем вы снимаете копию и как ее используете.
Организационно я советую три вещи. Первое - ограничить круг сотрудников с доступом к копиям паспортов только теми, кто реально готовит документы по сделке, а не всей командой. Второе - хранить копии отдельно от общей клиентской базы и рекламных рассылок: смешивать чувствительные документы с обычными контактами для маркетинга не стоит. Третье - не держать копии дольше, чем требует цель: если сделка не состоялась, документ нужно уничтожить, а не складывать в архив «на всякий случай».
Отдельно обратите внимание на электронные копии: если сканы паспортов лежат в общей папке на Google Диске или в CRM без ограничения доступа, это создает риск утечки при взломе аккаунта любого сотрудника. Лучше хранить такие файлы в системе с разграничением прав и логом обращений, а не в общей папке «для всех».
Локализация тоже касается паспортных данных: если база с копиями клиентов - граждан России хранится за границей, например на зарубежном сервере CRM, это отдельное нарушение закона о локализации, даже если с самими данными все остальное сделано правильно.