Názor k článku Web server Nginx bez práv roota s pomocí systemd od Miroslav Šilhavý - Pokud nginx běží jako www-data, tak i privátní...

Pokud nginx běží jako www-data, tak i privátní klíče HTTPS certifikátů musí být čitelné tímto uživatelem. To znamená, že například děravá PHP aplikace se může k těmto souborům dostat. To nevypadá jako moc velké zlepšení v bezpečnosti.

To už je na Vás, jak si nastavíte uživatele pro nginx a jak pro PHP.
Opravdu není dobrý nápad mít hlavní proces NGINX pod stejným uživatelem jako PHP-FPM. To už je lepší ho spouštět pod rootem.