Хранить копию паспорта можно, но не по умолчанию и не про запас: нужна конкретная законная цель - например, кадровый учет по Трудовому кодексу, воинский учет или требование другого закона (для мигрантов, для отдельных должностей). Если цель есть, отдельное согласие на копирование паспорта не обязательно, потому что обработка нужна для исполнения трудового договора.
Проблема в практике, а не в самом факте копирования: Роскомнадзор и суды не раз указывали, что снятие копии паспорта «на всякий случай», без явной необходимости, - это избыточная обработка персональных данных. Для большинства должностей достаточно внести реквизиты паспорта в трудовой договор и личную карточку Т-2, не прикладывая саму копию.
Если копия все же нужна (например, того требует профиль должности или отдельный нормативный акт), храните ее в личном деле с ограниченным доступом - не в общей папке, доступной всему отделу, а там, куда есть доступ только у ответственного за кадры. Срок хранения личных дел обычно завязан на трудовое и архивное законодательство, отдельно под 152-ФЗ копию паспорта хранить бессрочно нельзя - при увольнении или отпадении необходимости лишние копии стоит уничтожить.
Практический совет: пересмотрите внутренний перечень документов личного дела и уберите из него копирование паспорта там, где это делается по инерции, а не по требованию закона или профиля должности. Это снижает объем данных, за которые компания отвечает как оператор, и риск при проверке.