Хранить копии паспортов сотрудников без специального законного основания - распространенная, но рискованная практика. Формально проблема не в самом факте хранения копии, а в обработке данных без достаточного основания: сведения из паспорта - фамилия, имя, дата рождения, номер документа - работодатель вправе внести в кадровые документы и учетные системы, потому что это необходимо для трудового договора, но снятие и хранение самой копии как отдельного файла для этого не требуется.
Позиция Роскомнадзора и судебная практика по таким спорам в целом сводятся к тому, что копирование паспорта оправдано, только если это прямо предусмотрено отдельным законом для конкретной ситуации (например, для некоторых лицензируемых видов деятельности или должностей с повышенными требованиями), а не как общая практика кадровой службы «на всякий случай».
Более безопасный вариант - при приеме на работу проверить паспорт визуально, переписать нужные реквизиты в личную карточку и трудовой договор, а сам документ вернуть сотруднику без копирования. Если копии уже накопились за годы работы компании, стоит определить, какие из них хранятся без реального основания, и организованно от них избавиться, а не просто перестать копировать новые.