В чём разница между private и # (ECMAScript private fields)?

Ключевое слово private — это проверка только на этапе компиляции TypeScript, в скомпилированном JavaScript поле остаётся обычным свойством и доступно через as any или DevTools. #-поля (ECMAScript private fields) — это часть стандарта JavaScript, они по-настоящему приватны в runtime: движок выбросит ошибку при попытке доступа снаружи. Выбор зависит от того, нужна ли тебе runtime-защита.