Копию паспорта храните в личном деле сотрудника в запираемом шкафу или сейфе кадровой службы, доступ к которому есть только у кадровика и тех, кому это нужно по работе, например у бухгалтера при расчете зарплаты. Электронный скан, если он вообще нужен, кладите в отдельную папку с ограниченным доступом, а не в общую сетевую папку отдела, доступную всему офису.
Паспортные данные - персональные данные, поэтому их обработка должна опираться на конкретную цель: обычно это заключение и исполнение трудового договора, и отдельного согласия для этого не требуется, основание прямо в Трудовом кодексе. А вот если копию паспорта используете для чего-то сверх кадрового учета, например для пропускной системы или базы подрядчика, письменное согласие лучше оформить отдельно.
Держать копию в деле нужно ровно столько, сколько актуальна цель обработки. Конкретные сроки хранения кадровых документов задает архивное законодательство, а не 152-ФЗ, и они не совпадают с моментом увольнения - для расчета пенсии часть документов хранится значительно дольше. После истечения срока документы либо передают в архив, либо уничтожают по акту.
При проверке обычно смотрят на несколько простых вещей:
- сканы паспортов не лежат в общей папке на сервере, доступной всему офису;
- личные дела не пересылаются по обычной почте без шифрования;
- список сотрудников с доступом к личным делам зафиксирован в положении об обработке персональных данных;
- за состояние архива отвечает конкретный человек, а не отдел целиком.