Самый простой способ - это, вероятно, жестко закодированная проверка идентификатора пользователя.
# The allowed user id
my_user_id = '12345678'
# Handle command
@bot.message_handler(commands=['picture'])
def send_picture(message):
# Get user id from message
to_check_id = message.message_id
if my_user_id = to_check_id:
response_message = 'Pretty picture'
else:
response_message = 'Sorry, this is a private bot!'
# Send response message
bot.reply_to(message, response_message)