Есть несколько способов достижения этого, среди которых:
AND (private <> '1' OR ToPerson = '$user_id')
Что в значительной степени означает "либо это не личное сообщение, либо оно адресовано этому конкретному пользователю"; или
AND IF(private = '1', ToPerson = '$user_id', TRUE)
Что само собой разумеется.
Последний комментарий: ради бога, пожалуйста, используйте подготовленные высказывания и не вставляйте внешний ввод в ваш SQL, иначе SQL-инъекция рано или поздно пойдет вам на попяту.