Вам нужно только убедиться, что он не входит в группу www-data и что разрешения других пользователей не установлены:
sudo chmod -R o-r /var/www
sudo deluser USERNAME www-data
Сначала установите режим чтения без других для / var / www и рекурсивный, второй проверяет, что пользователь не является частью группы.