Хранить копию паспорта можно только тогда, когда это прямо предусмотрено законом или необходимо для конкретной цели обработки, и не дольше, чем эта цель актуальна - формулировка «на всякий случай» законной целью не считается. Паспортные данные это персональные данные, а копия документа - их материальный носитель, который создает дополнительный риск утечки: изображение паспорта украсть или потерять проще, чем отдельные реквизиты, внесенные в базу.
Трудовой кодекс обязывает работодателя зафиксировать паспортные реквизиты при приеме на работу, но не требует хранить именно скан или ксерокопию документа - реквизиты можно внести в личную карточку или кадровую систему, а сам документ только предъявляется для сверки. Исключения редки: например, если копия нужна для конкретной процедуры вроде оформления загранкомандировки или банковской карты сотруднику, и то только на время, пока это актуально.
На практике накопленные годами копии паспортов - это как раз то, за что чаще всего штрафуют по статье 13.11 КоАП: хранение без установленной цели и избыточный состав данных. При увольнении или прекращении необходимости в хранении такие копии нужно уничтожить в срок до 30 дней, а не оставлять в личном деле бессрочно. Проще всего провести ревизию личных дел, оставить только те данные, которые реально требуются для кадрового учета, а лишние копии документов уничтожить актом.