Копии паспортов - персональные данные с повышенными требованиями к защите, и хранить их нужно в запираемом металлическом шкафу или сейфе, доступ к которому имеет только кадровик или ограниченный список сотрудников, назначенных приказом. Электронные копии должны лежать в папке с ограниченным доступом, а не в общей сетевой папке отдела.
По соискателям, которые не прошли отбор, ситуация отдельная: если человек не стал сотрудником, хранить его копию паспорта дальше срока, нужного для принятия решения о приеме, нет законных оснований - данные нужно уничтожить, а не складывать в архив «на будущее». Держать документы бывших кандидатов годами - как раз то, за что при проверке обычно и штрафуют кадровые службы.
По действующим и уволенным сотрудникам сроки хранения личных дел определяются трудовым и архивным законодательством, и там же хранится копия паспорта - вместе с личным делом, а не отдельно.
Заведите опись, кто и когда получал доступ к шкафу или папке со сканами, и раз в год делайте ревизию: убирайте документы уволенных, у которых истек срок хранения, и не копите лишнее. Чем меньше данных лежит без необходимости, тем меньше рисков при проверке или случайной утечке.