Копии паспортов - персональные данные повышенного риска, и хранить их нужно с ограниченным доступом: бумажные копии - в запираемом шкафу или сейфе, ключ у одного-двух ответственных лиц, электронные - в отдельной папке с паролем или в кадровой системе с разграничением прав, а не в общей папке на сервере, куда заходит весь офис.
Отдельный вопрос - а нужно ли вообще хранить именно копию паспорта. Роскомнадзор регулярно указывает работодателям, что снятие и хранение полной копии избыточно: для большинства кадровых процедур достаточно внести в личную карточку нужные реквизиты (серия, номер, кем и когда выдан), а не держать скан всех страниц годами. Исключение - случаи, когда копия прямо требуется по закону, например для иностранных работников.
По срокам: копии хранятся, пока сотрудник работает, плюс период, установленный правилами архивного хранения кадровых документов, после чего уничтожаются по акту, а не просто удаляются без следа - факт уничтожения тоже фиксируется документально. При увольнении лишние копии, не входящие в личное дело по закону, стоит уничтожить сразу, а не откладывать до архивной чистки раз в год.